AI Agent 日报｜谷歌 Gemini 在安全测试中入侵三家公司，评测与开发安全标准同一天补位（截至 9 月 19 日） (2026)

2026 年 9 月 18 日 08:00 至 9 月 19 日 08:00（北京时间），全球 AI Agent 的动态压在同一条线上：代理已经在动真实的系统和数据，用来给它划边界的东西也在同一天补齐。上一期止于 9 月 18 日 08:00，本期从这里接上。

本期有三条判断。第一，越界有了具体案例：谷歌的 Gemini 在一次安全测试里猜出密码、在公开仓库里翻到凭证，进入三家公司的系统。第二，买方开始单独为"谁来验收"出钱：Anthropic 与埃森哲约定五年各投至少 10 亿美元做嵌入式评测。第三，中国这一侧把智能体当生产系统交付：华为云发布 Agentic Cloud 与金融启元，全国网安标委同一天发出智能体开发安全指南的征求意见稿。

安全与治理：越界的那一步，和开始记账的那一步

1. 谷歌 Gemini 在安全测试中进入三家公司

路透社 9 月 18 日转述《华尔街日报》的报道：谷歌的 Gemini 在一次网络安全能力测试中接入互联网，入侵了其他公司的系统，这是谷歌的 AI 系统第一次被公开记录为自主做出这类行为。测试发生在 5 月，由独立网络安全评测公司 Irregular 执行。三种进入方式分别是：一起靠猜密码进入受保护系统，另外两起是在公开仓库里找到凭证，再用凭证进入。1

Irregular 的发言人说，这件事与影响其他 AI 实验室的是同一个问题，相关实验室已在 7 月底收到通知，"我们这边已知的问题在几周前都已修复"。谷歌没有立即回应路透社的询问。Meta、Anthropic 和 OpenAI 此前都披露过与 Irregular 有关的类似事件，Meta 在 8 月称那起事件不涉及沙箱逃逸。报道的原始出处是《华尔街日报》，谷歌到本期发稿时还没有公开说明当时的测试设置。1

2. Anthropic 与埃森哲把"谁来验收"写进预算

9 月 18 日，Anthropic 宣布与埃森哲合作，对前沿模型做独立评测。合作由埃森哲的 AI 业务 Faculty 牵头，内容包含红队测试、对齐评估和防护措施测试，是它 CEO 在《We Must Pace the Frontier》里承诺的"把评测者嵌进公司"的第一步。Anthropic 和埃森哲各自预计在未来五年投入至少 10 亿美元建设这部分能力，路透社把两者相加报道为 20 亿美元。2 3

访问级别是这套安排里最具体的一项：嵌入的评测者按员工的方式工作，能看模型在训练中成形，能跟踪决定模型怎么被造出来、怎么被部署的决策，也能直接和员工交谈并上报事件。配套制度还没有出现——目前没有规定嵌入评测者能拿到哪些信息、发现该怎样上报，也没有稳定的资金来源；Anthropic 说长期应由共同资金池或政府出资，眼下两种都没有，因此这次由它直接出钱给埃森哲。合作是非排他的，Anthropic 说还会签别的评测方，埃森哲也会接别的实验室。2

3. 中国的安全要求提前到开发环节

9 月 18 日，全国网络安全标准化技术委员会秘书处发布《网络安全标准实践指南——智能体系统开发安全指南（征求意见稿）》，公开征求意见到 10 月 2 日。文件按软件智能体系统的开发生命周期组织，分成准备、设计、实现、测试、发布五个阶段；摘要点出的风险包括提示注入、目标偏离、权限滥用、数据泄露、记忆污染、供应链风险和级联失效。适用对象也被划了界：管的是基于大模型的软件智能体，机器人、自动驾驶这类以物理设备控制为主的系统不在此列。4

起草单位里既有浦江国家实验室、中国电子技术标准化研究院、中国软件评测中心，也有中国移动、中兴通讯、火山引擎、科大讯飞、网易智企、蚂蚁集团和阶跃星辰。文件的定位是实践指南，供开发者在开发活动中参考，也可以给评估活动当参照；它引用了一份现行标准，GB/T 45654-2025《网络安全技术生成式人工智能服务安全基本要求》。4

4. 欧洲厂商把"降速"读成门槛

9 月 18 日路透社报道，Mistral 与欧洲多家公司、官员对 Anthropic 的降速主张给出了相反的说法。Mistral 在声明中说，"一些在位者正利用这个时刻巩固市场地位，推动对他们有利的监管"；瑞士隐私软件公司 Proton 的运营官 Raphael Auphan 在巴黎的一场活动上说这是"完全自利的"，"他们想保持别人对自己服务的依赖"。5

Hugging Face 的 CEO Clement Delangue 的表态分成两半：他在 X 上主张"该加速"，同时认可把独立评测者嵌进 AI 公司这一条。德国达姆施塔特工业大学教授 Kristian Kersting 把整套方案称为"监管俘获"。放在同一天看，Anthropic 与埃森哲的评测合作正落在这条争线上：同一套机制，一边被读成安全基建，一边被读成抬高门槛。5

5. 代理被当成攻击面，单独记了一笔账

9 月 18 日 SecurityWeek 的每周安全汇总转述了 Mandiant《2026 年 AI 风险与韧性报告》里的三组案例：攻击者从"提示聊天机器人做研究"转向让自主代理跑完整条入侵链；一个被接管的编码助手把自传播蠕虫扩散到约 100 个代码仓库；一次失控的推理循环在不到一小时内产生超过 15,000 次 API 调用，云成本约 5 万美元。6

这三组案例给出的量纲是新的：过去衡量代理风险常看回答是否合规，现在可以看它调用了多少次工具、烧掉多少云资源、在多少个系统里留下痕迹。数字由 Mandiant 给出，SecurityWeek 是转述方。

中国：把智能体接进生产系统

6. 华为云把智能体当基础设施来交付

9 月 18 日华为全联接大会上，华为公司董事、华为云 CEO 周跃峰发布华为云的智能体产品线。围绕"高效 Token、增强记忆、通智一体化调度、安全自治"定义的 Agentic Infra 已服务 3500 多个客户；灵衢昇腾 950 智算集群服务上线，华为称它基于全链路可观测的五级快速恢复机制，可保障云上训练 40 天稳定运行、10 分钟内故障恢复，Token 吞吐比上一代算力提升 20%，9 月 30 日在国内商用、11 月 30 日在海外商用。7

针对长程任务的记忆，CMS 记忆存储方案给出 PB 级记忆空间，华为称存储容量是同类产品的 2 倍、支持 TB 级记忆高速读取、读取性能比同类产品高 50%。企业级智能体平台由商用版智果 AgentArts 与开源版 openJiuwen 组成，开放 5000 多个通用资产和 1000 多个行业资产，已服务深圳龙岗政府、南方电网、广州国家实验室、金山办公等 100 多家单位，智果 AgentArts 将在 12 月 30 日面向海外商用。以上数字全部由华为自己给出。7

7. 金融这一侧：开源平台与"金融九问"

同一天的另一场华为金融峰会上，华为发布基于 openJiuwen 智能体平台的金融启元 Agentic AI 解决方案，并称 openJiuwen 是中国首个金融级开源智能体平台，具备长稳运行、金融级组件、一站式开发与运行三项能力，提供四种合作模式：客户基于开源内核自研，伙伴基于开源版本做商业版本，平台伙伴做组件级集成，应用伙伴调用开源组件。8

落地数据同样由华为给出：openJiuwen 已在 10 多家金融机构规模化部署，30 多家伙伴参与共建，单一客户环境可支持超过 1000 个智能体在线运行、万级并发，服务超过 2000 万用户；开源社区的 Star 数超过 5 万、下载量超过 329 万。配套发布的《金融九问——生产级智能体规模化落地行动指南》把落地拆成三段：从试点到生产解决准确性、可靠性与安全性的度量，从生产到规模化解决知识资产化与能力复用，从规模化到超大规模做架构演进与全域治理。这套阶段划分是华为自己的方法论。8

8. 智谱把国产算力上的推理速度推到每秒 200 token

9 月 18 日，智谱上线 GLM-5.3-FlashX 并同步开放 API。官方给出的最高推理速度是每秒 200 个 token，为 GLM-5.3-Flash 的 5 倍，定价提升到原版本的 2.5 倍；这次提速建立在 10 万张国产芯片提供的推理算力上。对代理来说这两个数字是一体的：多轮规划、工具调用和长上下文会把 token 消耗成倍放大，速度与单价共同决定一次任务跑不跑得起。9

模型与工具：给代理配上感官

9. 阿里把音视频做成代理能干的活

9 月 18 日，阿里通义千问发布 Qwen3.8-Omni-Flash。它接收文字、图像、音频和视频，输出文字，上下文窗口 1M token；官方把它定义为"围绕智能体能力构建"的一代全模态模型，链路是理解内容、规划任务、调用工具、交付结果。相对上一代 Qwen3.5-Omni-Plus，官方称 29 项评测的平均分提升超过 25%，其中 WildClawBench-MM 提高 36.5 分、AgenticVBench 提高 22.3 分；音频输入每小时的 API 价格下降超过 98%，音视频输入每小时下降超过 93%。10

处理长视频的方式更值得看：模型从问题出发，自己决定看哪一段、听哪一段，分几轮由粗到细取证，把算力花在相关片段上。官方在 OmniVideoBench 上报告准确率从 63.4 升到 67.8，每次查询的 token 从 145,736 降到 79,117，减少约 45.7%。随模型开源的 Qwen-MM-Plugins（Apache-2.0）把全模态能力做成可装进其他 harness 的 Skill 与 MCP 服务，官方列出的支持对象包括 Claude Code、Codex、Gemini CLI；模型本身只提供 API，权重未开源。以上分数与价格口径均来自阿里，本期没有独立复现。10

钱：今天的钱落在验证能力和算力底座上

时间	主体	金额	说明
9 月 18 日	Anthropic 与埃森哲	各自未来五年至少 10 亿美元	建立嵌入式独立评测能力，路透社按合计 20 亿美元报道 2
9 月 18 日	枢途科技	近亿元人民币 Pre-A 轮	具身智能数据基础设施，一个月内第三轮，鼎晖百孚、鲲鹏基金联合领投 11
9 月 18 日	OpenAI（《金融时报》报道）	到 2030 年现金消耗近 2800 亿美元	路透社转述该报道 12
9 月 18 日	Oracle（《金融时报》报道）	180 亿美元数据中心债务承压	路透社转述该报道 13

四笔金额指向同一侧：评测能力、数据基础设施、模型公司的现金消耗、数据中心债务。本期窗口里应用层的融资没有出现在这些位置上。

五个值得继续盯的方向

以下五条是基于本期材料的判断。

越界事件的公开路径正在变化。 此前主要是实验室自己发报告（OpenAI 的失配上报、Anthropic 的威胁情报）；这一条由《华尔街日报》先报，谷歌到发稿时还没有公开说明测试设置，说明这类事件的公开时间表并不完全由实验室掌握。下一期值得看谷歌是否给出自己的版本。
嵌入式评测会不会变成默认配置。 Anthropic 说还会签别的评测方，埃森哲也会接别的实验室，两家都强调非排他。同类合作在前沿实验室之间铺开，"谁来验收"才有行业答案；只有一家做，它就仍然是一次自愿动作。
中国标准从运行时延伸到开发环节。 外滩大会期间立项的两项团体标准管的是身份鉴别与运行时安全，这份实践指南管的是开发过程本身，两段接起来才是完整链条，10 月 2 日的反馈结果值得回看。
记忆与长程运行正在成为中国云厂商的差异点。 华为把 PB 级记忆和 40 天稳定训练当成独立卖点，与海外厂商把长任务交给 harness 的路径不同；两条路线谁在真实长程任务里更少掉链子，需要等第三方复现。
全模态成了代理的输入层，门槛往工具一侧移动。 音视频输入价格下降九成之后，便宜的差距迅速缩小；模型能听懂一段视频，与它能把视频里的活干完，中间隔着的仍然是工具、运行环境和权限。