AI 日报 | 2026年10月02日

智能体安全的路线之争出现新解法：开源项目 OpenAPPA 用信息流控制替代概率式护栏，在基准上做到零数据外泄且几乎不损失任务完成率。斯坦福与加州理工的 HomeBody 让 GPT-6 Astra 跳过 VLA 中间层直接调度宇树 G1，在陌生厨房完成长程任务。企业侧，IBM 为编程智能体 Bob 推出完全自托管部署，直指受监管行业的合规门槛；本地推理引擎 Magnitude 以设备端内核调优切入。具身智能方面，IROS 2026 足式机器人挑战赛冠军连续两年选用同一家中国公司的硬件平台。

OpenAPPA：用信息流控制替代概率式护栏，数据外泄率降到 0%

Archestra 于近日开源发布 OpenAPPA（MIT 许可），一套确定性智能体护栏系统。它的思路借鉴了半个世纪前军方处理机密文档的分级模型：一旦智能体会话读取了敏感数据，该会话即被标记为"私有"，此后任何把数据发往更低安全等级或外部目的地的尝试都会被阻断，无论提示注入的话术多么有说服力。实现上，OpenAPPA 位于智能体控制回路之外、充当智能体与工具之间的守门人，通过 appa.toml 声明数据源、受众（audience）、信任等级与授权机构，为每条执行轨迹附加 audience×trust 标签，标签只会收紧不会放宽，判定由代数方式推导因而无法被提示词说服。官方基准显示：OpenAPPA 攻击成功率 0%、任务完成率 88%–90%；微软 FIDES 为攻击成功 28%–35%、任务完成 37%–45%；Claude Code 的 auto 模式等非确定性方案约 90% 完成率但约 10% 攻击成功率。相关论文见 arXiv:2607.24625。

值得关注： 这条的核心不是"又一个护栏"，而是对当前主流方案的一次架构性反驳。以 LLM 当裁判或二级分类器（auto 模式、auto-review）的方案有两个结构性缺陷：一是无法跨工具调用追踪数据流向（即信息流控制），在"读取含客户 PII 的 bug 报告→三轮后推送公开 GitHub 仓库"这种场景里，单次 git push 看起来完全无害，危险在于载荷的来源与去处而非动词本身；二是这类分类器自身也会被间接提示注入，Claude Code 因此不得不把工具输出从分类器请求中剥离，等于让它对智能体读过的数据彻底失明。即便最先进的非确定性护栏对提示注入也只有 99.3% 有效——在百万次调用规模下 0.7% 是大量事故，金融、法律等关键场景无法接受。OpenAPPA 的另一半价值在于"不打断智能体"：拦截时返回机器可读的补救方案（脱敏器、一次性授权、隔离子智能体），而非简单失败。需要保留的判断是：这些是项目方自建基准，第三方独立复现尚未出现；系统目前仍是预览版，代价是任务完成率小幅下降与 Token 开销上升。

来源：Archestra 官方博客 https://archestra.ai/blog/announcing-openappa ｜ 论文 arXiv:2607.24625 https://arxiv.org/abs/2607.24625 ｜ 评测页 https://www.openappa.com/evaluation ｜ Hacker News 讨论 https://hn.today/s/show-hn-openappa-deterministic-ai-guardrails-that-dont-break-agents

HomeBody：GPT-6 Astra 跳过 VLA 层，直接把机器人技能当工具调用

斯坦福大学与加州理工学院的研究团队发布 HomeBody 系统（项目 9 月底公开，10 月 2 日国内出现产业视角解读），把前沿视觉语言模型 GPT-6 Astra 直接接入宇树 G1 人形机器人，在从未见过的厨房中完成探索、建图、物品归置、丢弃纸盒，并能按"把药拿来"的指令找到不在视野内的药品递到人手中。系统有意删掉了传统的 VLA（视觉-语言-动作）中间层：机器人先自主探索，用相机与激光雷达通过 SLAM 同步建图与定位，把关键帧画面、内容描述和空间位置绑定成两层空间记忆（语义层记"某帧里有什么"，度量层记"拍摄时在哪"）；随后在 NVIDIA Isaac Sim 中用实测点云约束重建一个数字孪生厨房，并与现实地图对齐到同一坐标系。执行阶段，Astra 结合当前画面、地图、空间记忆与上一步结果，决定调用导航、抓取、放置、开抽屉中的哪项技能。整个本地栈（感知、运动规划、技能执行）跑在一台搭载 RTX 4090 的笔记本上，Astra 在远端推理。

值得关注： 意义在于决策与动作的连接方式变了——大模型从"动作生成者"变成"技能调度者"。过去机器人系统分三层（VLM 理解指令、中间策略层翻译、底层控制器执行），HomeBody 验证了前沿 VLM 的空间推理能力已足以直接承担编排职责，无需为新环境采集训练数据或重新训练专用策略。这对产业是实质性利好：如果导航、抓取、开抽屉能封装为可调用技能，仓库、诊所、小酒店就能用自然语言派活，而不必为每个场景单独立项开发控制程序，代码已开源也便于评估集成成本。但边界必须说清楚：研究者自己列出的限制包括 Astra 的推理延迟、手指舵机过热、算力成本高，演示视频部分段落以 50 倍速播放仍显缓慢；单次厨房成功不等于跨厨房、跨光照、跨杂乱度的可靠性，采购前应追问错误率、失败回退行为与房间扫描数据的处理方式。真正的验证标志是后续能否在新房间不改代码地复现。

来源：腾讯新闻（产业解读）https://new.qq.com/rain/a/20261002A02NO300 ｜ heise online https://www.heise.de/en/news/GPT-Astra-with-robot-body-tidies-kitchen-autonomously-11468740.html ｜ 搜狐（技术拆解）https://www.sohu.com/a/1082626218_114877 ｜ Epoch AI The Memo https://worldthatgrows.com/news/the-memo-28sep2026

IBM Bob 推出完全自托管部署：把编程智能体塞进气隙网络

IBM 于 10 月 1 日宣布，其智能体化软件开发平台 IBM Bob 新增自托管部署选项，企业可在本地数据中心、私有云、主权云乃至完全无外部连接的气隙环境中运行整套 AI 编码能力。Bob 原本已支持团队用 AI 生成与修改代码，新版本把全部推理与数据处理留在客户可控环境内，同时允许企业用已有许可在本地跑受支持模型，或通过混合配置连接外部模型服务——IBM 的表述是"把 AI 带到数据所在处，而不是把数据搬到 AI 那里"。公告援引 IBM 商业价值研究院 6 月的调研称 68% 的企业管理者认为跨多个司法辖区的数据驻留合规具有挑战性，Futurum Research 则预测到 2030 年混合与边缘 AI 部署将占 AI 基础设施市场 44%、公有云份额降至 46%。受此消息及 Accenture 财报超预期带动，IBM 股价 10 月 1 日盘前上涨约 4%，此前股价曾接近 199.19 美元的 52 周低点。

值得关注： 这条把 AI coding 的竞争维度从"模型强不强"拉回到"能不能进得了门"。银行、政府、医疗等受监管行业至今无法使用主流 AI 编码助手，根本原因不是效果不达标，而是源代码与受监管数据不能出境——数据驻留与合规是硬门槛而非偏好问题。自托管让这类客户第一次有了可选项，也意味着"主权 AI"叙事正从大模型下沉到开发工具层。值得注意的是市场反应：一次纯产品公告就能把接近 52 周低点的股价拉动约 4%，说明投资者认为受监管市场是被压抑的真实需求而非边缘场景。需要区分的是：IBM 的 68% 与 44% 均来自其自身或友商调研，属于立场性数据；自托管版本的实际功能边界（是否支持全部智能体能力、本地模型覆盖范围、运维复杂度）公告未完整披露，落地效果仍待观察。

来源：BigGo Finance https://finance.biggo.com/news/5a0c137d-25cc-47a0-a593-ec70f448d0b8 ｜ IBM 公告（经上述报道转述）

Magnitude：为智能体而生的本地推理引擎，设备端编译调优内核

YC S25 批次支持的 Magnitude 以 Apache-2.0 协议发布，是一个专为 AI 智能体（而非聊天）设计的本地开源权重模型推理引擎。与 vLLM、SGLang 面向数据中心的批量服务、llama.cpp 与 Ollama 以牺牲峰值速度换取广泛兼容不同，Magnitude 瞄准的是"一台个人机器上跑长时、并发的智能体会话"。引擎用 Rust 编写，带自定义 GPU 内核运行时与自动调优器：内核参数在模型运行前于用户真实设备上编译与调优（约一分钟、每个模型一次），并为最主流的开源权重模型家族手工优化内核。官方基准（Qwen 3.6 35B A3B、4-bit、64k 上下文，对比 llama.cpp，无投机解码）显示：M4 Pro 上 decode 从 30 tok/s 提升到 57 tok/s（+92%）、单智能体内存降低 28%；DGX Spark 上 decode 从 49 提升到 58 tok/s（+19%）、内存降低 27%。它提供 OpenAI 与 Anthropic 双兼容本地 API，对 Pi、OpenCode、Hermes、OpenClaw、Codex、Claude Code、Oh My Pi、Cline 提供一键连接。

值得关注： 真正的看点有两层。一是技术选择：不为广泛硬件预编译内核，而是在设备上现编译现调优，等于把"通用性"换成"你这台机器的极限性能"，对 Apple Silicon 这类通用引擎长期挖掘不足的平台收益尤其明显（+92% 的 decode 提升集中在 Metal）。二是它选择不替换你的智能体，只把配置写进现有 harness——但这也埋下了切换成本迁移的伏笔：magnitude connections add 会改写智能体配置并可安装自己的 skill，一旦引擎开始掌握 harness 内的模型路由，迁移成本就从"API 形状"（可轻松互换）转移到"集成层"（skill、模型 ID、各 harness 默认值）。需要保留的边界：上述数字全部是厂商自测，decode 增益偏 Metal、prefill 增益偏 CUDA，社区反馈的问题包括多 GPU 被识别为多设备、Windows 硬件检测失败、低显存机器缺少小模型、以及相对 Apple 专用引擎的 prefill 回退；项目当前仍是 0.2.x，读起来也确实像个 0.2.x。

来源：AI/TLDR 工具页 http://ai-tldr.dev/tools/magnitude ｜ Developers Digest https://www.developersdigest.tech/blog/magnitude-self-tuning-local-inference-engine-2026 ｜ Local Model Watch https://localmodelwatch.tsuchitsuchi.com/en/2026/10/01/magnitude-self-optimizing-inference-engine-for-agents

IROS 2026：足式机器人挑战赛冠军连续两年选用同一家中国硬件平台

9 月 27 日至 10 月 1 日，IROS 2026（IEEE/RSJ 智能机器人与系统国际会议）在美国匹兹堡举行。足式机器人挑战赛中，新加坡南洋理工大学战队携中国智身科技的四足机器人"铜锤 M1"夺冠；而上一届 2025 年，英国曼彻斯特大学团队夺冠时使用的同样来自智身科技，是"钢镚 L1"。本届比赛中铜锤 M1 首次实现全程全自主作业，包括自主感知赛场环境、动态规划路线完成导航、抵达目标后自主驱动机械臂执行操作。智身科技同时在展台发布新一代钢镚 L2 系列：持续载荷提升至 16 公斤，第二代麒麟合金关节模组峰值扭矩 95 N·m、较上一代提升约一倍，续航约 5.5 小时，具备 IP66 防护与 -20℃ 至 55℃ 宽温域适应能力，整机算力 86 TOPS，配备 720° 全向融合感知，支持厘米级定位与自主建图避障；一同展出的还有 8 款自研关节模组，其 CHAMP 系列高功率密度关节模组年产能已突破 100 万件。

值得关注： 值得琢磨的不是某个参数，而是"连续两届、两支不同国家的顶尖高校战队选同一家中国公司的平台并先后登顶"这个信号。选一台机器狗参赛，性能强弱只是前提，赛事周期内高强度反复调试与密集测试要求设备扛得住长时间高频使用——参赛队要的不是能跑一次的样机，而是能反复调试、稳定跑完全程的设备。这本质上是对可靠性、运动控制能力与交付一致性的一张信任票，也说明中国四足平台开始成为国际科研圈的公共底座。更深一层的价值是飞轮：四足阶段积累的运动控制、感知决策、核心零部件、可靠性工程与量产经验正在延伸至人形机器人研发，"产品应用—数据积累—模型迭代—产品升级"的循环开始自我增强。需要提醒的是口径问题——中新网援引的数据称上半年全球人形出货约 1.91 万台、中国占比 97% 以上，与昨日 IDC 的近 2.5 万台存在明显分歧（Smart Analytics Global 亦为 1.91 万台、同比 +272%），行业出货统计至今没有统一口径，引用时应标明来源。

来源：中国新闻网 https://m.chinanews.com.cn/wap/detail/chs/zw/10707009.shtml ｜ 甲子光年（今日头条）https://www.toutiao.com/article/7691730908365324835