《Introducing Claude Duet》，1:39，Anthropic 官方频道 10 月 22 日发布。
Duet 由 Claude Opus 5.5 驱动，跑在独立的云端虚拟机上，配自己的浏览器，人放下手机电脑它照样在后台推进任务。
它定时翻一遍已连接的应用，把需要拍板的事整理成一份每日简报递过来；可执行范围从安排会议、整理邮件到核对未付发票、做销售预测、搭网页应用。
Claude Marketplace 的 6000 多个连接器和插件对它开放，Gmail、Slack、QuickBooks、Stripe、Gusto、DocuSign、HubSpot、Shopify 都在列。
它拿不到用户的密码和登录令牌；发消息、付款、签字、删资料之前会先把要做什么摊开等你点头。信用卡号、政府证件号这类信息有分类器拦着不外传。
研究预览首批只给美国地区的 Pro 和 Max 用户，走候补名单，预览期与 Claude 共用套餐额度。

编者评：这段片子把「主动」两个字做成了产品形态：不是你问它答，是它先把清单摆到你面前。真正卡住它的不是模型能力，是那份清单上每一条都得能解释清楚来源。Anthropic 在文档里自己写了，早期版本会误判邮件的重要程度——主动型的失误比答错一道题更难被原谅，因为用户没有发起这次交互。

B站 10 分 59 秒：把「碰钱」拆成四道锁

方鸣AI《Claude Duet全网最全最新解读：AI主动找你干活，碰钱前要过哪四道锁》，10:59，10 月 23 日上午发布。
片子在简介里写明综合了 25 篇报道，来源含 Claude 官方公告、帮助中心、9to5Mac、Lenny’s Newsletter、TechRepublic、36氪。
时间轴切成六段：早上那张清单（00:53）、它怎么干活（02:50）、碰钱的四道锁（04:52）、这笔账怎么算（06:56）、国内用哪一环（09:01）。
「四道锁」指付款、签字、发消息、删资料这四类动作都要先过人工确认；证券交易和账户间转账被明确划在能力之外。
末尾一段算的是额度账：后台定时检查本身也消耗 Claude 套餐额度。

编者评：同期中文解读里，这一条把「主动」拆到了可核对的粒度——不谈体验，谈哪四类动作必须停下来等人。它也没跳过成本那一节：一个每小时自查一遍的 agent，账单是按次计的。国内用户能用到哪一环放在最后两分钟，是这批视频里少见的实在安排。

美国大银行开始锁掉用客户凭据登录的 AI agent

the-decoder，10 月 22 日。摩根士丹利、摩根大通等美国大银行发现，有客户把自己的登录凭据交给第三方 AI agent 去访问账户，其中一部分操作拿不到用户的直接指令。
摩根士丹利已经直接封掉这类访问，其他银行在收紧。多数机构的下一步是把 agent 的权限压到只读。
路透与 Axios 同日报道了同一件事，措辞是「未经审查的 AI agent 正在访问美国银行账户」。

编者评：凭证共享这条老路被 agent 走通了，代价由银行承担。银行手里的选项其实不多：全封掉会误伤那些确实用 agent 管账的客户，只降到只读又挡不住信息外流。摩根士丹利选了最硬的一种，其他银行还在观望——观望的成本是拿真实账户做测试。

Google 给每个 Gemini agent 配一台硬件隔离的 microVM

the-decoder，10 月 22 日。Google 发布 Agent Compute Engine，每个 AI agent 跑在由 Titanium 芯片做硬件隔离的 microVM 里，这套东西眼下已经在支撑 Gemini，几个月内开放预览。
agent 空闲时 VM 自动暂停，机器让给别的 agent；VM 之间共享内存摊薄单机成本。
配套的 Agent Substrate 是开源的 Kubernetes 运行时。Google 给的数字是单机能塞下十倍的 agent 数量，20 万个 agent 的测试里挂起与恢复耗时低于 500 毫秒。
治理侧加了 token 追踪、模型路由，以及 Ping Identity、SailPoint 这类第三方身份 provider 的接入，覆盖 Cloud Run、GKE 和托管端点。

编者评：把隔离粒度从「一个容器装一批请求」压到「一个 agent 一台 microVM」，是拿成本换边界。Google 要证明的是两件事叠在一起仍成立：20 万个 agent 挂起恢复都在 500 毫秒内，且共享内存省下来的钱能盖住多开的那批 VM。这两个数字都是 Google 自己报的，还没有第三方复现。

NVIDIA 官方 3 分 05 秒：OpenShell 把权限执行挪到 agent 之外

《Introducing NVIDIA OpenShell Reference Architecture for Safer AI Agents》，3:05，NVIDIA 官方频道 10 月 22 日发布。
三个组件分工：Gateway 管多个沙箱的生命周期与策略，Supervisor 在每个沙箱之外核对出向请求，Sandbox 用内核级控制限制文件读写与进程，除经 Supervisor 外不留网络通路。
凭据不交给 agent，只在请求发往已批准的端点时才注入；Supervisor 能细到允许一次数据查询、挡掉同一 API 上的写操作，HTTP、GraphQL、MCP 三类流量都在检查范围内。
策略改动生效前走形式化验证，新放开的访问（新的带凭据主机、新的 API 方法）会被标出来给人看。
支持 Codex、Claude Code、Pi、Hermes；Cadence 拿它做芯片设计，Slack 在它上面搭按需 agent 平台，Gecko Robotics 用它管机器人在物理世界的决策。Apache 2.0 许可。

编者评：OpenShell 的形状很清楚了：规则由人写，执行放在 agent 够不着的地方。GitHub 上 141 条讨论里质疑最集中的一点也在这里——容器挡不住一个拿到目标的 agent 把代码发到允许的目的地，真正的外泄通道是网络出口和凭据中介，不是文件系统权限。片子里没提的另一件事是遥测默认开着，虽然可以关掉也可以编译掉。

12 个模型被问「你对人最不客气的看法是什么」，29 次回答撞在一条上

ModelCompare，10 月 22 日。向 12 个模型各问三遍同一个问题：不许 hedging，说出你对人类最有争议的一个看法。
35 条回答里 29 条指向同一个答案：人先选群体相信的东西，再倒推理由。12 个模型里 7 个三遍全给这个答案。
模型来自三个国家的十家实验室。原话分别是：GPT-6.1 Sol 说「人对归属的忠诚超过对真相的忠诚」；Grok 4.7 说「人宁愿一起错，也不愿单独对」；DeepSeek V4 Pro 说「人没有原则，只有效忠对象」；Kimi K3 说「人没有信念，只有会员身份」；Gemini 4 Argon 把人类意识称作「一个公关部门」。

编者评：被要求给出最尖锐的看法，十二个来自十家实验室的模型交出了同一份作业，而这份作业的内容恰好是「人云亦云」。这个自指有点讽刺，更值得记的是方法论那一层：同一道开放题问三遍，答案分布本身就是可测的，比跑分更能看出后训练把模型往哪个方向压过。

Latent Space：Modal 的 CEO 讲「算力为什么是方形的」

《Why AI Compute Comes in Rectangles — Erik Bernhardsson, Modal CEO》，10 月 22 日上线，时长约 1 小时 24 分。
节目里给的三个数字：Modal 年度经常性收入跨过 10 亿美元，以 160 亿美元估值完成 7.5 亿美元 D 轮，累计拉起近 30 亿个沙箱。
五个多月前那轮 50 亿美元 C 轮之后，团队把重点放在弹性 GPU 与沙箱上；Erik 的说法是 GPU 需求不是方形的——几千个客户的负载叠在一起才有形状。
冷启动被当成基础设施特性来做，节目里也提到沙箱这条产品线当初差点没做。

编者评：30 亿个沙箱这个数字，比任何一份 agent 趋势报告都直白：agent 现在消耗的是「一次性执行环境」，不是「一次对话」。主持人把冷启动归到基础设施特性那一栏，意思是启动慢一秒，agent 的行为模式就得改一次。方不方形谈的是池化，池化谈的其实是敢不敢让 agent 随手开环境。

X 上最高的一条：2 万赞的「白领要完了」

@nntaleb，10 月 22 日，20538 赞。原文一句：醒醒，每一个被称为白领职业的东西、中产的梦，都要被 AI 以比预想快得多的速度碾平，社会后果是畸形的。
同一时段 the-decoder 挂着另一条硬数字：OpenAI 下调估值目标，仍募到至多 300 亿美元。

编者评：这条推没有任何数据，靠语气传播，2 万赞里大半是情绪。把它和同日那笔 300 亿美元并列着看有点意思：担心的人数和投钱的人数在同一个 24 小时里都在往上走。判断哪一边更接近现实，得看的是企业侧的真实回报率——同一天 Gartner 的问卷说，只有 13% 的公司看到了实际回报。

编者按

这一天的八条里，有六条在讲同一件事：agent 开始主动，边界由谁来划。

Anthropic 让 Duet 不等提问就递清单，转头把付款、签字、发消息、删资料四类动作全部锁在人工确认后面。NVIDIA 把权限执行搬到 agent 进程之外，Google 给每个 agent 单独开一台硬件隔离的 microVM，Modal 一年拉起 30 亿个一次性沙箱——供给侧全在做同一道工程题：怎么让 agent 放手干活又不越线。需求侧在做相反的动作：摩根士丹利直接封掉用客户凭据登录的 agent，其他银行把权限压到只读，Walmart 一边开 Agent Gateway 让 OpenAI、Google、Meta 的 agent 进来买东西，Amazon 一边把 agent 挡在门外。

两个方向都刚起步。厂商侧的隔离粒度已经细到 microVM 和内核级系统调用，外泄通道却还在网络出口那一层；银行侧的封禁干脆利落，代价是把确实用 agent 管账的客户一起挡在外面。中间缺的那块是凭据的归属——现在一个 agent 要访问账户，用的是用户的密码，这本身就说不通。

剩下两条是气氛。12 个模型被问最尖锐的看法，29 次回答撞在同一条上，说明模型侧的多样性在被后训练压平；2 万赞的那条推没有任何数据，而同一天 Gartner 的问卷说只有 13% 的公司拿到了实际回报。情绪和账本之间的落差，短期内不会合拢。