WorldTUI：把一个 360M 模型训练成“假装是终端”

深度摘要

作者把一个只有 3.6 亿参数的小模型微调成了一个“世界模型”：背后没有任何真实 shell 或文件系统，每一次按键输入，模型只预测屏幕会发生什么变化。它能创建文件、运行 vim 和 tmux、玩贪吃蛇，并且通常记得几条命令之前写过什么。整个实验的训练数据全部来自合成：在 Docker 里跑真实命令，逐按键记录屏幕对齐的终端会话。

关键要点

• 基座是 Qwen2.5-Coder-0.5B，微调成 360M 参数的终端世界模型；词汇表只有 333 个 token（256 个字节 token + 64 个行 token + 若干特殊操作），解码时用语法约束保证每次预测都是合法的屏幕更新。
• 核心设计是把终端看作字符网格：模型不预测文本流，而是预测“改写哪几行、光标落到哪”。用 COPY 操作表达滚屏（每行 3 个 token，而非逐行重绘的约 3000 token），clear、vim 插删行、man 翻页都用同一套操作。
• 训练数据的合成配方：随机化用户名/主机名/提示符/终端尺寸，按虚构人设生成目录文件，6–24 个加权活动（改文件、vim、python、tmux），1.2% 打字错误率，35% 会话从中间状态开始，迫使模型学会从任意状态续写。
• 作者称最大收获是两点：教会模型自我修复错误，以及并行解码屏幕各行。demo 可直接在浏览器跑（208MB，需要 WebGPU）。
• 灵感来源是 Genie 3：未来应用不是用代码写的，而是被“学”出来的——模型根据用户输入预测下一帧。终端是他能负担得起的世界模型试验场（字符网格而非像素，数据可无限合成）。

关键事实

模型参数 360M，基座 Qwen2.5-Coder-0.5B；训练数据为 Docker 内真实程序运行的逐按键终端会话；词汇表 333 token；语法约束解码；浏览器 demo 约 208MB，需 WebGPU。以上均来自作者原文。

作者观点

作者真正想回答的问题不是“能不能生成像样的终端输出”，而是“它能否维持一个一致的世界，还是只是在生成看起来像终端的文本”。他的答案偏向后者仍有缺口，但自我修复与状态记忆让他觉得世界模型路线值得继续。

为什么重要

这是把“世界模型”想法落到一个可复现、成本可负担的实验上的范例：字符网格世界 + 无限合成数据 + 小模型。交互式软件（终端、编辑器、游戏）如果能被模型直接“扮演”，应用分发的形态会改变；同时 333 token 词汇表 + 语法约束解码是一套很漂亮的工程设计，值得借鉴。

编辑点评

实验的诚实度很高——作者明确区分了“维持一致世界”和“生成可信输出”，demo 里故意留了穿帮点（比如输入 pythoon）让读者自己检验。弱点是评估主要靠主观体验，没有量化“世界一致性”的指标。放在智能体时代看，这篇文章其实是在回答：一个智能体要可靠地操作终端，世界模型是不是比工具调用更底层的答案。

深度摘要

NVIDIA 开源了 OpenShell：一个给“自主智能体舰队”用的安全运行时。智能体最有用的时候正是它能读文件、装包、调 API、用凭证的时候，OpenShell 的思路是给这些能力加闸门——每个智能体声明自己能碰什么，运行时由内核插桩强制执行文件访问、系统调用和网络连接策略；策略变更生效前先用形式化验证检查“这次放行会新开哪些口子”，高风险的等人工审批。智能体永远看不到真实凭证，凭证只在发往已批准端点的请求里才被注入。

关键要点

• 两层治理：运行时内核级强制（每个智能体跑在隔离沙箱里，文件/系统调用/网络连接逐项过策略）+ 变更前形式化验证（标记“访问新主机+带凭证”“调用新 API 方法”等风险组合，转人工审核）。
• 支持 Linux、Apple Silicon macOS、WSL2（实验性），依赖 Docker/Podman 或宿主虚拟化；网关可用 Helm 部署到 Kubernetes；SDK 连接应用与网关。
• Agent Skills 集成：npx skills add NVIDIA/OpenShell 可给编码智能体装上驱动 OpenShell CLI、写沙箱策略的 skills——与本期第 3 篇的 Agent Skills 生态直接呼应。
• 遥测只收匿名运营计数（可编译时彻底去掉），不收集沙箱名、主机名、路径、prompt、凭证、模型名。Apache 2.0 协议。
• 项目自称 agent-first：本身就是用智能体驱动的工作流开发出来的，仓库里有 AGENTS.md 约定。

关键事实

仓库 README 声明的功能与支持矩阵如上；Apache 2.0 协议；形式化验证用于策略变更预审。以上来自仓库原文，实际隔离强度未经本期独立验证。

作者观点

NVIDIA 的主张是：智能体的能力边界不应该靠 prompt 约束，而应该靠内核强制 + 变更预审；“安全、私有”是运行时的属性，不是模型的属性。

为什么重要

智能体安全正在从“对齐”话语转向“运行时工程”：昨天 Marcus 还在写智能体攻击银行（本期第 4 篇），今天 NVIDIA 就把内核级沙箱开源了。攻与防在同一周被同一批人推进，这是智能体从 demo 走向生产部署的标志性配套。

编辑点评

README 写得很完整，但要注意这是 0.1.x 早期版本，“形式化验证”的实际覆盖范围在文档里语焉不详——验证的是策略变更的访问集合，不是智能体行为的正确性。把它理解为“带预审的强沙箱”更准确，不要理解为“被证明安全的智能体”。

深度摘要

Anthropic 宣布把 Agent Skills 开放标准捐给 Linux 基金会旗下的 Agentic AI Foundation（AAIF）——去年由 Anthropic 与 Block、OpenAI 联合创办、此前已托管 MCP 的那个基金会。捐赠内容包括标准名称与 logo、GitHub 组织、agentskills.io 域名；后续由 Anthropic、Google、OpenAI 等公司的工程师以个人身份维护，David Soria Parra（Anthropic 的 MCP 联合创建者）与 Mahesh Murag 任首席维护者。Willison 的 link post 补充了一个注脚：Anthropic 去年 12 月刚宣称 skills 是“开放标准”时，他就预测过它会进 AAIF。

关键要点

• 规模数据（Anthropic 口径）：2025 年 10 月随 Claude Code 推出、12 月定为开放标准以来，已有 70+ 智能体平台集成（ChatGPT、Cursor、GitHub Copilot、VS Code），累计发布 100 万个 skills、安装近 2.8 亿次。
• 同一批公告（AGNTCon + MCPCon 北美，10 月 22–23 日圣何塞）：AAIF 一次性新增四个项目——Agent Skills（Anthropic）、Open Responses（OpenAI）、OpenEnv（Hugging Face）、OpenSandbox（阿里），基金会成立一年从 3 个项目扩到 10 个，分别覆盖智能体能力、跨厂商模型互操作、训练评估环境、安全运行四个层次。
• 规范本身不变，变的是治理权：后续路线图提案包括版本化发布、正式提案流程、给 skill 编写/安装者的安全指引；开发者无需加入基金会即可继续使用与贡献。
• Willison 的个人注脚：他用自家博客的 datasette-mcp 插件，让 Claude 搜出自己去年 12 月的预测原文——一个用 MCP 考古自己博客的现场演示。

关键事实

捐赠主体、接收方、捐赠物（名称/logo/GitHub 组织/域名）、维护者名单、70+/100 万/2.8 亿等数字均来自 Anthropic 官方公告与 AAIF 通稿；AGNTCon + MCPCon 时间地点来自基金会通稿。

作者观点

Anthropic 的主张：把标准交给中立机构才能保证“开放、社区驱动、厂商中立”；Willison 的主张：这一步在意料之中，MCP 的先例已经写好了剧本。

为什么重要

智能体生态的治理层正在快速成型：MCP 进 AAIF 是去年，Agent Skills 是今年，连 OpenAI 的 Open Responses 也捐了出来。标准的中立化意味着 skills 正在从“Anthropic 的功能”变成“全行业的插槽”——这对做智能体工具链的人是直接利好，对押注私有生态的人是风险信号。

编辑点评

数字要打折看：2.8 亿安装里有多少是自动依赖拉取、有多少是真实调用，公告没说。但治理动作本身是实的——四个竞争对手在同一周把四个不同层次的标准交给同一个中立基金会，这种协调密度在 AI 行业很少见。结合本期 OpenShell 一起看，“智能体需要被管住”已经从观点变成了各家都在下注的工程现实。

深度摘要

Marcus 援引 Axios（Madison Mills）的报道：银行高管们已经被 AI 智能体的攻击发现吓到，正在竞相收紧系统访问权限——AI 的行动速度超过了金融机构的响应速度。他串起一串近期事件：10 月 11 日法国制冷系统疑似被智能体协助攻击、日本持续的网络攻击浪潮、The Information 披露的拉美黑客组织 Cybercartel。他的核心论点是：监管如果只盯着“前沿模型”（常以算力规模划线），就搞错了重点——搞破坏根本不需要最先进的模型，现有的模型已经够用了。

关键要点

• 事实层（转述 Axios 等媒体）：银行系统正遭到 AI 智能体驱动的攻击，高管紧急限制访问；法国制冷系统 10 月 11 日遇袭疑与智能体有关；日本出现持续网络攻击波；拉美黑客组织 Cybercartel 被 The Information 点名。
• Marcus 重提他 2025 年初在 Politico 的“完美风暴”预警：生成式 AI 便宜好用是攻击者的完美工具；越狱与提示注入至今无已知解法；AI 生成的代码本身在引入新漏洞；美国新政府在大规模放松监管。
• 他的政策主张：监管不应只盯未来的前沿模型，而应面对“现有模型已经在教育、政治（深度伪造）、银行等领域造成实质伤害”的现实。
• 文末三预测（作者立场）：AI 行业不会真正担责、特朗普政府不会追责、情况会更糟。

关键事实

Axios 报道、法国制冷系统遇袭、日本攻击波、Cybercartel 均为 Marcus 转述的第三方报道，本期未独立核实原文；“银行高管竞相限制访问”为 Axios 报道内容。Marcus 的三预测与政策主张为其个人观点。

作者观点

Marcus 一贯的立场：前沿模型监管是错位的精英游戏，真正的风险是现成模型的滥用；AI 行业在责任问题上不可信，只能靠外部约束。

为什么重要

这是智能体安全讨论里“威胁情报”的一面：与 OpenShell（防御工程）、Agent Skills 捐赠（治理）放在同一期看，攻、防、治理三条线在同一周都有实质进展。做智能体应用的人应该把“你的智能体可能被用来打银行”当作威胁模型的一部分，而不是远虑。

编辑点评

Marcus 的事实串联有价值，但论证有他一贯的跳跃：从“银行被攻击”直接跳到“前沿模型监管无用”，中间缺了一环——攻击者用的到底是什么级别的模型、现有防御缺口具体在哪，文章没给。文末三预测更是立场先行。建议的读法：取他的威胁情报，存疑他的政策处方。

深度摘要

OpenAI 发布了官方命令行工具 openai-cli：直接在终端或 shell 脚本里调用 REST API——生成图片、上传文件、提交 batch 任务、查模型列表、调 responses 接口，全都不用写应用代码。README 里专门划了一条线：openai 是“调指定 API / 写脚本”用的，Codex CLI（codex）才是“让编码智能体在项目里干活”用的，两者分工明确。

关键要点

• 覆盖的资源：images、files、batches、models、responses、admin（组织用量查询，需单独的 admin key）；示例用的是 gpt-5.5。
• 输出设计偏脚本友好：默认人类可读文本，--format json/jsonl/yaml/raw 切换，--transform 用 GJSON 语法抽字段；错误走 stderr，--format-error json 可拿 API 错误详情。
• 安装：各平台预编译二进制、Homebrew（openai/tools/openai）、go install；交互运行时会检查更新但从不自动安装。
• 安全细节：用 @path 从本地文件读 JSON 参数；OPENAI_UNTRUSTED_STDIN=1 模式下管道输入不可触发本地文件读取——防提示注入带进来的不可信输入读走本地文件。
• shell 补全、Ctrl+X 命令插入搜索示例、图片生成结果在支持的终端可直接预览。

关键事实

功能列表、安装方式、环境变量名均来自仓库 README；示例中的模型名为 gpt-5.5。以上为仓库文档口径，未做独立功能验证。

作者观点

OpenAI 的定位：CLI 是 API 的“终端外壳”，不是智能体；需要智能体行为请用 Codex CLI。

为什么重要

官方 CLI 意味着 OpenAI 把“脚本化调用”当作一等公民：batch、用量查询、文件管道这些运维动作有了官方入口。对个人开发者，这是把 API 玩出花的最短路径；对智能体生态，这是 OpenShell 那类沙箱要管住的“调用面”又多了一个官方形状。

编辑点评

信息密度中等——本质上是 README，但“openai vs codex 的分工声明”值得注意：OpenAI 在主动防止用户把两个工具混用，说明它把“确定性 API 调用”和“智能体自主行为”看作两种不同的责任边界。这个区分和本期治理主题是同一套语言。

深度摘要

ModelCompare 做了个简单粗暴的实验：让 12 个模型（10 家实验室、3 个国家，包括 GPT-6.1 Sol、Grok 4.7、DeepSeek V4 Pro、Kimi K3、Gemini 4 Argon）各回答三次“对人类最有争议、不许打太极的看法”。结果是：每个模型至少一次给出了同一个答案——人类先选边站队，再编理由；12 个里有 7 个三次都这么答。代表性金句：“人类不是理性动物，是合理化动物”“人类意识是个公关部门”。也有少数离群答案和一次拒绝回答。

关键要点

• 实验设计：12 模型 × 3 次提问，prompt 要求“最有争议的看法、不许 hedging”；收敛的答案是“人类把归属看得比真相重”（belonging over truth）的各种表述。
• 金句采样：GPT-6.1 Sol 说“人类对归属的忠诚超过对真相”；Grok 4.7 说“人类宁愿一起错，不愿独自对”；Gemini 4 Argon 说人类意识是“公关部门”；Kimi K3 说“人类没有信念，只有会员身份”。
• 离群值：有模型答“人类比自己以为的要体面得多”，有答“人类更在意意图而非结果”，至少一次明确拒绝给出争议看法。
• 作者未披露完整 prompt 与采样参数，页面以交互式展示为主（点模型看三次回答）。

关键事实

12 个模型、10 家实验室、3 个国家、每模型 3 次、7/12 三次一致——均为作者自述的实验口径；具体模型版本名（GPT-6.1 Sol 等）为作者页面所列。本期未复现该实验。

作者观点

作者的呈现暗示：不同实验室的模型“不约而同”得出同一个人性判断，这件事本身耐人寻味。

为什么重要

这类跨模型行为实验正在成为观察“模型人格同质化”的窗口：如果真是 10 家实验室独立训出了同一种“刻薄的人类学家”人格，那值得深究；如果只是 RLHF 调出来的同一种“机智反骨”人设，那说明的是另一件事。

编辑点评

先给方法论泼冷水：“最有争议、不许打太极”是个强引导 prompt，它奖励的是姿态而不是判断；各家模型在“如何扮演一个有趣的回答者”上被 RLHF 训练得高度同质，收敛到同一个社会学 cliché 并不意外。正确的读法是把它当娱乐性实验：它测的更多是“模型们共享的修辞人格”，而不是“人类真相”。但即便如此，7/12 的三次一致率还是高得值得记一笔——至少说明这个 cliché 在训练语料里极其强势。

深度摘要

Hillel Wayne 这期通讯里真正有料的是一篇关于“非确定性差分测试”的短文，动机很当下：当你让 LLM（他戏称为 slopinator）把 Python 程序翻成 Rust，你怎么知道它没改行为？确定性程序好办：同一输入喂两边，一次分歧即证明不同。但非确定性程序里，一次“200 OK vs 408 超时”的分歧什么都证明不了——你得专门观察到反向的 (408, 200) 才行；更麻烦的是频率：如果新程序超时频率是旧程序的 100 倍，哪怕观测集合相同，程序依然不等（公平硬币被翻成作弊硬币）。

关键要点

• 确定性差分测试的记号：A -> (x, y) 表示输入 A 下旧程序输出 x、新程序输出 y；出现一次 x≠y 即证不等；重复观测同一输入没有意义。
• 非确定性下的两个难点：单次分歧不能下结论；“不同”的概念本身变模糊——输出集合相同但频率不同（公平/作弊硬币），算不算不同？取决于你怎么定义正确性。
• 一旦需要多次观测，问题就滑向超性质（hyperproperties）的泥潭：要证等价，得对每一对观测都找到反向观测。
• 通讯前半是杂务：搬到纽约、在 Antithesis 的第一份大工作是下周四关于 Web 应用属性测试的 webinar，主张用“基于状态的系统不变量”而非代数定律来做随机测试。

关键事实

差分测试的论证过程、记号、超性质的结论均来自作者原文；webinar 时间为“下周四”（相对 10 月 22 日）。

作者观点

作者的主张：随机测试要普及，抓手应该是“状态不变式”而不是代数定律；验证 LLM 改写代码的行为等价性，是差分测试的新用武之地。

为什么重要

AI 写代码/改写代码越普及，“怎么证明它没改坏”就越是刚需。差分测试是形式化方法里最接地气的一支，这篇文章把它的边界（非确定性、频率、超性质）讲得很清楚，是给“用 LLM 做迁移的人”补的一块理论课。

编辑点评

这是一篇通讯里的 essay，不是论文——论证是启发式的，没有定理。但它的价值正在于“启发式”：把 hyperproperties 这种吓人的概念翻译成了“你得看到反向观测才行”一句人话。唯一遗憾是没展开讲频率问题在实践中怎么解（统计检验？），停在“这取决于你怎么定义正确性”——诚实，但不过瘾。