Agent 工程系统学习第 11 章：Agent 攻击面 = 传统 Web + 模型新面。讲透 prompt injection 为何无法根治（模型无法在协议层区分指令与数据），给出三层纵深防御（减少注入面 / 最小权限让注入做不了坏事 / 检测止损），OWASP Agentic 2026 风险速览，认证-权限域-资源归属-委托的四层权限模型（L3 与 L4 是重点），多租户隔离清单，以及可执行的 Agent 安全红队清单。

为什么同一段对话，用对 chat template 的模型表现天差地别？对话模型的一切行为都由一张「模板」定义：角色标记、特殊 token、系统提示的位置。本篇拆解 chat template 的结构、各家模板的差异、它如何决定「模型以为自己在跟谁说话」，以及微调与应用时最容易踩的模板坑。

Evaluations of LLM systems routinely average over small prompt sets and report models as a ranked table. We ask how much…

IT之家 9 月 17 日消息，低功耗 FPGA 企业 Lattice（莱迪思）当地时间昨日宣布推出 FPGA 开发 AI 辅助工具 Radiant、安全控制 FPGA 新品系列 Mach-N2。 Prompt 以 Lattice 经过验证…

RAG 把外部内容拼进 prompt，等于亲手打开了指令与数据的边界：恶意文档可以借「检索」进入上下文操纵模型（间接提示注入），污染语料可以直接扭曲答案（语料投毒）。本文讲清两类攻击的机制与真实形态、防护的纵深组合，以及「检索内容永远当数据」这条核心纪律。

KV Cache 让一次推理不用重算历史 token，但多轮对话每次都把 10 万字的 system prompt 重发一遍——前缀缓存回答的是「相同前缀算一遍就够，能不能跨请求共享」。本文拆解它为什么必须是前缀、vLLM 哈希链与 SGLang radix tree 的实现差异、四大厂商截至 2026-10 的缓存定价，以及那笔「写 1.25 倍、读 0.1 倍」的账什么时候是赚的、什么时候反亏 25%。

Oct 8, 2026 Nano Banana Pro prompted by THE DECODER Key Points A chain of vulnerabilities in Amazon's Bedrock AgentCore …

文婷* 2026-09-29 15:59:46 来源：量子位 文婷 发自 凹非寺 量子位 | 公众号QbitAI 别眨眼。** 星空下，一辆白橙色的反重力赛车如利刃出鞘，猛地切进弯道，丝滑拐弯，在赛道上拖拽出一道道冰蓝光带，溅起金黄色的摩…

Google has released Gemini 3.8 Flash TTS and Gemini 3.8 Flash-Lite TTS, 2 new text-to-speech models in its Gemini Audio …

Video generation begins in text space by authoring a cinematic screenplay, then materializes into pixels. As contemporar…

Text-guided image editing must introduce the requested changes while preserving unrelated source content. Diffusion-base…

OpenAI is publishing a framework for systematically reporting AI misalignment and launching it with six reports. In one …

Training prompts in online reinforcement learning (RL) differ substantially in how informative they are for the current …

Large language model (LLM)-based multi-agent systems (MAS) achieve strong performance by employing specialized multiple …

On-policy distillation (OPD) accelerates post-training by providing dense token-level supervision from a frozen teacher …

检索回来的片段直接塞给模型，是 RAG 里被省略最多、也最该做的一段工程：去重、排序、压缩、位置摆放、预算分配，每一步都直接影响答案质量。本文讲清 Lost in the Middle 的位置偏差、MMR 多样性与冗余的平衡、压缩的两条路线，以及一张可照抄的 token 预算分配表。

We propose BrickBench, a benchmark for agentic text-conditioned LEGO-set design. Given a prompt, an agent is tasked with…

Web agents complete user requests by reading and acting on pages that third parties write, so an instruction planted on …

Agent 工程系统学习第 3 章：上下文工程取代 prompt engineering 成为核心技能。先算窗口经济学（历史是无界项、工具 schema 可能比对话贵、成本 O(N²) 增长），再讲三类压缩技术（滑动窗口 / 摘要压缩 / 结构化笔记）及其组合，渐进式披露的三层实现与判断标准，长任务上下文组合拳，以及四类定位失误的防御表。

Prefill and decode reward different approaches to quantization: low-precision arithmetic accelerates prompt processing, …

基于 2026-09-22 独立研究整理：拆解 Meta Muse 的三层产品谱系与时间线、Secure VM 六层防护（凭据代理替换 / tainted egress / 审批绕过模型）、Muse Spark 1.3 能力口径（AA 指数 61–62 vs Claude Fable 5.1 的 66）、定价与商业模型、三情景推演与风险矩阵，并给出核心判断——Agent 的天花板由平台开放意愿决定，而非模型智力。

Runway wants to stream AI video as users prompt it, rather than make them wait for finished clips. The approach builds o…

系列第 ③ 篇，对应技能地图第 2 格「Grounding」。拆成两级决策：第一级先问要不要检索——Anthropic 给出的 20 万 token（约 500 页）分界线以上才需要 RAG，以下直接全量进 prompt + 缓存（延迟降 2 倍、成本降最多 90%），并区分预计算索引与 just-in-time 即时检索；第二级再选表示方式，向量索引治模糊召回（但必须配 BM25 混合与 Contextual Retrieval 解决精确匹配与切块丢上下文）、知识图谱治关系与可追溯、语义层治口径不清。附可量化收益表（检索失败率 5.7% → 3.7% → 2.9% → 1.9%）、四个实现注意项、context rot 与上下文压缩/笔记/子智能体三件套，以及一张可抄的选型决策树。

Realtime spoken interaction demands deep reasoning, prompt responses, and fluid turn-taking. We present StepAudio 3 Real…

Agent harnesses (the system prompt, tool set, execution hooks, and context-management scaffolding around a model) are a …

Model misalignment, prompt injection, or operator misuse could lead AI agents operating frontier-lab accounts to exfiltr…

长上下文不是把窗口开大就行：KV Cache 随序列长度线性膨胀，很快压过模型权重成为显存大头。本篇拆解 KV Cache 的来历与账单、多头注意力的三代瘦身方案（MQA/GQA/MLA）、稀疏与线性注意力的路线，以及「上下文长度」宣传数字背后的真实约束。

「这个应用每月的模型账单会是多少」——回答这个问题需要真正理解 token 计费的口径：输入输出分价、上下文累积、缓存折扣、以及隐藏的成本大头。本篇拆解计费的完整口径、一笔真实对话的成本拆解、以及按效排序的成本优化清单——把「token 焦虑」变成「token 预算学」。

应用要的是 JSON，模型给的是散文加一段 JSON——结构化输出是大模型工程化的第一道坎。本篇拆解三种方案的能力与代价：提示词祈祷法（零保证）、语法约束解码（100% 合法但不保证语义）、以及原生 JSON mode 的折中——读完知道你的场景该用哪层、以及「格式合法」与「内容正确」是两件事。

同样的任务，70B 模型能做到的，1B 模型经过蒸馏也常常能做到七八成——能力从大模型流向小模型的通道是当代 AI 工程的核心课题。本篇拆解蒸馏的三代方法（logit 蒸馏、CoT 蒸馏、on-policy 蒸馏）、量化与剪枝的压缩三件套，以及「小模型为何如此便宜」背后的技术账。

智能体产品的商业化正在试验三种定价哲学：按席位（卖工具）、按 token（卖算力）、按结果（卖产出）。定价不是财务细节，它决定了产品把优化压力放在哪、用户把信任放在哪。本篇观察三种模式的适用边界、各自的激励扭曲、以及「按结果收费」为什么是智能体区别于软件的定价新大陆。

同一张 GPU，用 naive 推理脚本与用 vLLM，吞吐可以差 10 倍以上——差距的来源是两项工程创新：PagedAttention（显存的分页管理）与连续批处理（请求的动态编排）。本篇拆解这两项技术的机制、vLLM 生态的位置、以及「什么时候该用推理引擎、什么时候杀鸡不必用牛刀」。

一个闭源模型最值钱的资产是权重，而权重可以通过 API 被系统性「抽取」：用大量查询与输出对训练出一个行为高度相似的「影子模型」。蒸馏攻击、成员推断、系统提示窃取——模型窃取已经从学术攻击变成了真实的商业争议。本文讲清模型窃取的技术谱系、真实的攻防案例与防御的现实边界。

智能体应用与底层模型之间，正在长出一个中间件层：网关、记忆服务、沙箱、评测与观测——它们把「每个智能体应用都要造一遍的轮子」收敛成共享基础设施。本篇观察这个中间件层的构成、它与历史上其他基础设施层的相似节奏、以及哪些抽象会沉淀、哪些会消失。

「会用 AI 编程」正在从加分项变成默认项，开发者的技能栈随之迁移：从写代码到审代码、从实现功能到定义任务、从调试程序到调试智能体。本篇观察这场迁移的真实形状——哪些技能在贬值、哪些在升值、哪些被高估，以及一个务实的转型路径。

企业智能体的真实采用曲线呈断层状：POC 与试点遍地开花，真正进入生产并承担关键业务的凤毛麟角。本篇观察断层的位置与成因（六个生产化缺口）、跨越断层的组织形态、以及「试点工厂」陷阱——为什么大量企业困在永远试点里。

「支持 1M 上下文」与「用好 1M 上下文」之间隔着一道位置偏差的沟：模型记得开头与结尾，中间的信息像掉进黑洞。本篇拆解 Lost in the Middle 的实验发现、位置编码与注意力分布的机制解释、检索增强与重排序的工程对策，以及「位置偏差能不能被训练掉」的开放问题。

SFT（监督微调）是基座模型变成对话助手的第一步，也是最被误解的一步——它常被当成「教知识」，实际是「教格式与行为」。本篇拆解 SFT 的数据形态、训练细节（epoch、学习率、灾难性遗忘的边界）、常见的失败模式，以及「SFT 教的到底是不是能力」这个核心争议。

图像生成被扩散模型统治，文本生成却始终是自回归的天下——文本能不能也用「从噪声里逐步去噪」的方式生成？扩散语言模型（diffusion LM）从学术好奇变成开源可用（LLaDA 等），双向生成与可修改性展示了独特优势，质量差距与效率难题也依然真实。本篇拆解它的机制、与自回归的三点对比、以及这场范式之争的现状。

预训练之后权重就冻结了——这条默认设定正被测试时训练（TTT）打破：推理时当场用少量示例对模型做微调，让它在几秒内「学会」眼前的任务。ARC-AGI 基准上的突破让它出圈，与上下文学习、测试时扩展的关系需要厘清。本篇拆解 TTT 的机制、它在抽象推理上的实证、以及「推理时学习」路线的边界。

智能体工程把「记忆」做成了系统（本库 Agent 工程第 4 章），而记忆的学术研究走在另一条更深的线上：记忆的形态学（什么算一条记忆）、遗忘曲线的算法化、以及海马体索引理论对 RAG 架构的直接启发。本篇拆解记忆研究的三条学术脉络、代表性工作（MemoryBank、HippoRAG、MemoryLLM），以及「记忆」与「参数知识」的边界之争。

量化把模型权重从 FP16 压到 INT8 甚至 INT4——显存省一半到四分之三，本地部署因此成为可能。但「压完损失多少」取决于方法： naive 量化会毁掉模型，精心设计的量化几乎无损。本篇拆解量化的数学原理、PTQ 与 QAT 两条路线、per-channel 粒度与分组量化的意义，以及一张「什么位宽选什么」的决策表。

大模型的科学能力是双刃剑的极端形态：同一个能帮学生学生物的模型，理论上也可能在合成生物学的路径上「辅导」一个恶意行为者。生化（bio/chem）风险因此成为前沿 AI 安全的必答题——能力评估、访问管控与监管要求正在围绕它成型。本文讲清这个领域的风险模型、行业实践与监管框架。

llama.cpp 是本地推理生态的地基：纯 C/C++ 实现、无依赖、Mac/Windows/Linux/CPU 都能跑。本篇拆解它的技术路线（GGUF 格式、量化内核、异构加速）、本地推理的完整决策链（硬件→量化档位→引擎选择）、以及 ollama/LM Studio 这类「易用层」与 llama.cpp 的关系。

「我的场景该微调、上 RAG，还是写好提示词」——这个问题 80% 的答案可以在一张决策表里找到。三种适配方式改的是模型的三样东西：行为、知识、与当次指令。本篇用「你想改什么」做主轴拆解决策逻辑，给出各方式的成本与风险、混合架构的常见形态，以及一个五分钟的自测流程。

聊天界面「逐字蹦出」的打字机效果，背后是流式输出：服务端边生成边推、客户端边收边渲染。本篇拆解流式的技术栈（SSE 协议、token 增量与累积）、首 token 延迟（TTFT）为什么是体验的核心指标、流式的工程细节（中断、错误处理、统计口径），以及什么场景该关掉流式。

用户第二轮问「那它支持导出吗」——这三个字没法直接检索。多轮对话 RAG 的核心动作是 condense：用对话历史把带指代、带省略的追问改写成独立完整的问题再去检索。本文讲清指代消解与历史压缩的做法、改写偏移的坑、以及「检索结果也要进历史」这个常被忽略的细节。

向量检索的粒度是个两难：块太小匹配得准但上下文残缺，块太大上下文完整但语义被稀释。父子检索（small-to-big）用「小块检索、大块生成」把两个诉求拆开——索引里存的是子块，命中后回父块。本文讲清它的原理、三种常见形态、最小实现与工程取舍。

用户问「你好」「帮我写首诗」，也被送去向量库里转一圈——检索噪声污染回答，还白烧延迟和成本。查询路由是检索之前的分流器：判断这个问题需不需要检索、走哪个索引、要不要追问澄清。本文讲清路由的决策维度、实现谱系（规则→分类器→LLM）、失败代价与降级设计。

「读书给孩子听」的研究里最有价值的发现，不是哪份书单成就了学霸，而是阅读方式的决定性作用——「对话式共读」让孩子从听众变成讲述者，语言与认知的收益成倍放大。本文讲清共读各月龄的正确姿势、照本宣科与对话式阅读的差异、以及「孩子只听同一本书」这个经典问题的科学答案。