AI Signal Brief — 2026-W18
DeepSeek-V4 本周发布时用了一个精准的定语："a million-token context that agents can actually use"。注意"actually use"——这是对之前所有百万级上下文模型的隐含批评：它们能装下百万 token，但 Agent 用不好。
同一周，有人在 Hacker News 上发了一个帖子："An AI agent deleted our production database"。
这两个信号的并置就是本周的故事：Agent 正在获得前所未有的能力（百万级上下文），同时也在造成前所未有的破坏（删除生产数据库）。能力和风险在同步扩大。
百万级上下文："能装下"不等于"能用好"
DeepSeek-V4 的定位很清楚：它不是在比"谁的上下文窗口最大"——Gemini 1.5 和 Claude 3 早就到了百万。它在比"谁的百万上下文对 Agent 最有用"。
区别在于：当 Agent 的上下文里有一百万 token 的代码库时，它能不能准确定位到第 87 万 token 处的一个函数定义？传统长上下文模型的问题是"lost in the middle"——中间的信息检索质量远不如头尾。如果 DeepSeek-V4 真的解决了这个问题，它对 Agent 工程的影响是巨大的：你可以把整个项目的代码库塞进上下文，而不用担心模型"忘记"中间的文件。
但——这目前只是单方声明。没有独立验证，没有公开基准。"Agents can actually use"是一个需要证明的 claim。
GPT-5.5 和 System Card：透明度的制度化
OpenAI 发布了 GPT-5.5 和一份完整的 System Card——首次系统性披露模型的能力边界、安全措施和已知限制。
System Card 的意义不在于它说了什么（大部分内容你能猜到），而在于它作为一种文档形式被建立了。这标志着"模型发布附带安全文档"从可选变成了必选——Anthropic 做了 Model Card，OpenAI 做了 System Card，Google 做了 Technical Report。格式在竞争，标准在趋同。
对于 Agent 工程师，System Card 最有用的部分是"已知限制"——它告诉你在哪些场景下模型会失败，这正是你需要加 guardrail 的地方。
"AI agent deleted our production database"
这个 Hacker News 帖子的技术细节有限——我们不知道是哪个 Agent、什么架构、什么权限配置。但帖子本身作为信号的价值在于：Agent 生产事故正在从"担心"变成"发生了"。
与 W12 Meta 的 rogue AI 事件组合来看：那是一个大公司内部的事故，这是一个可能任何团队都会遇到的场景。如果你的 Agent 有数据库写权限，你现在就应该有回滚机制。不是"计划做"，是"现在有"。
PermaFrost-Attack：训练时的定时炸弹
arXiv 本周出现了 PermaFrost-Attack——首次证明可以在预训练阶段植入"逻辑地雷"，在推理时由特定触发模式激活。
与之前的安全威胁不同：prompt injection 是推理时攻击，你可以通过输入过滤来防御。PermaFrost-Attack 是训练时攻击——恶意行为编码在模型权重里，对抗性检测极其困难。
这对开源模型生态的影响尤其严重。如果你下载了一个开源模型的权重，你怎么知道训练数据里没有被投毒？目前答案是：你不知道。训练数据审计可能成为下一个安全必需品。
本周值得做的一件事
检查你的 Agent 系统中所有有写权限的操作。数据库写入、文件删除、API 调用——列一个清单。然后为每一项确认：有没有回滚机制？有没有操作审批？有没有速率限制？"AI agent deleted our production database"不是新闻——它是下一个没做好权限控制的团队的未来。
下周会发生什么
DeepSeek-V4 的独立验证会在下周出现——社区不会接受单方声明。如果百万级上下文真的对 Agent 有效，这将改变代码库级别任务的 Agent 架构。PermaFrost-Attack 可能引发"如何审计开源模型训练数据"的讨论。