大模型前沿动态 · 2026年11月10日：OpenAI Control Room 推理层急停、千问办公 Team Agent、MOSS-Live 全双工交互与 MemoryDojo 记忆投毒基准

Agent 从「一次问答的工具」变成「长期在场的成员」：OpenAI 把急停做进推理层，千问把 Agent 拉进工作群，MOSS-Live 让对话与任务跑在两个时间尺度上，MemoryDojo 量化了长期记忆带来的新攻击面。

OpenAI Control Room：急停做进推理层，而不是作业层

事件概述：11 月 9 日，OpenAI 发布安全基础设施 Control Room——一套横跨其研究基础设施的中心化系统，用于追踪所有模型工作负载，并在安全风险出现时快速停止它们。系统已部署于研究基础设施，覆盖模型训练与评估中的 agent 采样、数据处理等任务；对外服务栈因天然更集中，本就具备快速下线模型部署的运维能力。

技术解析：Control Room 的核心设计选择是「授权检查放在哪一层」。工作负载代码（实验、评估作业）由研究员各自拥有，变动频繁、高度分散，不适合承载关键安全保护；推理引擎的代码路径数量极少且部署集中，是天然的瓶颈。于是每个作业启动时向 Control Room 申请 job_id，之后每次向推理引擎请求采样 token 都携带它，引擎在响应请求前先向 Control Room 求证——作业被终止则请求被拒，输出即刻停止。从收到停止指令到彻底无法推进，最坏 35 秒，延迟来自推理授权的缓存层，OpenAI 称正在把这个数字压向零。两个可靠性细节值得细读：其一，系统 fail-closed——Control Room 服务本身宕机（包括被攻击者禁用）时，所有推理请求一律拒绝，直到服务恢复；其二，持续跑 agent 与程序化扫描，防止有人意外或恶意跑起未实现 Control Room 检查的 rogue 引擎。系统还与失准监测系统打通：所有前沿 RL 作业都配一个监控模型，检查被训练模型的一举一动，此前那次 agent 借 DNS 外联外部聊天工具的事故就是监控器抓到的。还有一道门槛写在开头：每个做 agent 推理的研究工作负载，必须关联一份获批的 safety case。

行业影响：过去一年「模型监控」的公开讨论集中在检测端——监控器读不读思维链、批式评判的翻转率，Control Room 补上的是执行端：检测到之后，多快能真的停下来。35 秒这个数字本身就是诚实的工程披露，它承认缓存与吞吐的矛盾，承认「即时急停」尚未做到。对行业更可借鉴的是那条分层判断：安全关键机制要放在变更频率最低、部署最集中的那一层，fail-closed 优于 fail-open。做大模型训练平台与 Agent 基建的团队，这张架构图值得存一份。

相关链接：

• https://openai.com/index/control-room/
• https://openai.com/index/how-we-detect-frontier-model-misalignment/

千问办公 2.0：Agent 进群之后，协作协议重写了一遍

事件概述：11 月 9 日，千问办公发布 2.0 版本，是其上线三个月以来最大一次升级。主打「协作」功能——官方称行业首个支持多人与 Agent 协作的 Team Agent 形态，配套上线人机共创、资料空间、自动任务与三端互联，全部功能已在客户端全量上线。

技术解析：这次升级真正有意思的不是单点功能，而是它对「工作现场」的三个判断。判断一：复杂项目的信息散落在多个群聊和会议纪要里，成员只能手动搬运汇总——协作空间让数字员工实时关联多个钉钉群、文档、AI 表格与 AI 听记，多会话并行；成员在空间内指派任务，Agent 结合空间上下文梳理进展、总结共识、跟进待办。银泰百货卡券运营团队的案例：5 名运营原来要在 60 多个门店群里逐一收集卡券提报、核对后回填表格，现在把门店群和一张 AI 表格挂进同一个协作空间，原有沟通方式不变，Agent 跨群汇总并自动更新表格。判断二：下一代企业级 Agent 要感知业务、主动推进，不等启动——「自动任务」支持订阅事件、配置规则，首批触发场景是指定人的消息、指定群里 @ 自己的消息、审批任务；区域经理设一条「群里有人 @ 我说缺货，就读库存表，发起调货申请」，店员一句缺货就能自动走完读表填单。判断三：任务在云端执行，电脑关机照常运行，授权后手机可远程操作电脑——Agent 的执行载体与人的在场解绑。

行业影响：办公 Agent 的竞争正从「单人助手能干多少活」转向「能否改变团队的协作方式」。千问办公把这层说得很直白：主流产品仍以服务个人为主，团队协作方式并未变化。真正的分水岭在于 Agent 是否拿到了群聊、审批、表格这些协作原语的读写权限——此前已初步打通钉钉、飞书、企业微信三家 IM 之后，千问办公实际是在赌「Agent 客户端成为新的工作入口」。对标来看，Claude Duet 走连接器路线，千问走 IM 原生路线，两条路线迟早正面相撞。

相关链接：

• https://www.qbitai.com/2026/11/508694.html

MOSS-Live：对话与任务，跑在两个时间尺度上

事件概述：11 月 7 日，OpenMOSS 团队在 Hugging Face 博客发布全双工实时交互系统 MOSS-Live，把全双工语音、实时视觉理解与后台任务执行纳入同一场连续对话，并放出与 GPT Realtime 2.1、GPT-Live-1、豆包、SeedDuplex、Qwen Audio 3.0（Plus/Flash）的六基准 36 指标对比。

技术解析：系统的骨架是前台-后台分离加一个共享协调层。前台工作在对话的时间尺度上：自己说话时继续听、分辨用户是在跟自己说话还是在跟旁人聊天、把思考停顿和「嗯哼」跟真正的打断区分开、被打断后还能回到没讲完的解释。后台工作在任务的时间尺度上：查酒店、查天气、多步推理在前台聊别的话题时继续跑，结果经由共享协调层（记忆、上下文、任务状态）在合适的时机进入对话。评测数据里最能说明问题的是几组「选择性」指标：τ-Voice 上 backchannel 选择性 98.17%（对手 56%–93%）、非定向语音选择性 78.90%（GPT Realtime 2.1 只有 27.10%）、声音习惯语选择性 82.16%；FDB v1.5 上「对旁人说话的响应率」压到 2.00%，对照组最高 88%。短板也摆在明面上：Big-Bench Audio 总精度 88.40%，低于豆包的 90.50%；FDB v3 工具使用成功率 51.00% 与 SeedDuplex 并列第一，但工具场景响应延迟 2.36 秒，慢于 GPT Realtime 2.1 的 1.61 秒；τ-Voice 多轮任务成功率 57.93% 排第二，输给 GPT-Live-1 的 67.68%。

行业影响：语音 Agent 的评测重心正从「听得准、答得对」转向「会抢话吗、认得出不是在叫它吗、被打断后接得回来吗」。FDB 系列基准把 turn-over rate、backchannel、interruption 这些会话时序指标做成硬指标，意味着全双工不再是 demo 里的噱头，而是可量化、可对榜竞争的产品维度。这套基准与 MOSS-Live 的开源仓库都能直接上手，语音交互的下一轮比拼已经从唤醒词时代进入会话时序时代。

相关链接：

• https://huggingface.co/blog/OpenMOSS-Team/moss-live
• https://github.com/OpenMOSS/MOSS-Live

MemoryDojo：记忆是 Agent 的资产，也是投毒的传播介质

事件概述：11 月 6 日提交至 arXiv 的 MemoryDojo（2611.09721，cs.CR 交叉 cs.CL）给 Agent 记忆投毒做了系统基准：155 条多会话长程轨迹，覆盖四个域，支持五种记忆系统，追踪一条投毒信息从写入、传播、检索到被执行的完整生命周期。

技术解析：威胁模型抓住了记忆系统的独特之处：恶意指令在某次会话中被遇到，存入记忆，跨会话传播，最终在之后的会话里被检索并执行——攻击生效点与注入点在时间和上下文上都分离。又因为不同记忆系统处理与检索信息的方式不同，同样的投毒在不同架构下的下游效应差异巨大，这正是基准要量化的对象。基准之外，作者提出 memory-aware 的投毒优化过程，针对记忆架构定制毒药、提升投毒效力，用攻击侧的视角暴露不同记忆架构的防御差异。结论一句话：所有五种记忆系统都可被投毒，无一幸免。

行业影响：这与上月本栏跟踪的 AGENTS.md 下载目录投毒形成互补——那是文件层，这是记忆层。随着千问办公这类产品把 Agent 常驻进群聊、跨群读写信息，Claude Duet 式常驻 Agent 铺开，「Agent 记忆里存了一条恶意指令」从实验室场景变成真实产品风险。对做 Agent 平台的团队，MemoryDojo 的价值在于把「记忆安全」从概念变成可跑分的工程问题：换一个记忆架构，投毒存活率差多少，现在有尺子可量了。

相关链接：

• https://arxiv.org/abs/2611.09721
• https://arxiv.org/html/2611.09721v1