KFF Health News 调查发现，包括 Microsoft、Anthropic、OpenAI、Apple 和 Google 在内的科技公司代表通过 CMS 在 Slack 上建立的聊天室，参与塑造联邦 AI 医疗应用监管政策。该聊天室成员已增至 1700 人，但仅有少数患者权益倡导者和医生参与。CMS 官员在视频会议中向科技公司承诺，Medicare App Library 将成为健康应用的销售渠道，并暗示这些应用将被优先纳入 Medicare 报销 AI 服务的新项目。科技公司还在 Slack 上游说，希望健康应用在用户一次性授权后即可无限制访问 TEFCA 网络中的患者医疗记录。法律专家指出，该聊天室在某种程度上类似于联邦咨询委员会，但 CMS 的行为准则明确否认其构成咨询委员会。
Tech Policy Press 分析发现，下周在都柏林举行的国际 AI 峰会官方议程 45 个发言席位中有 37 个（82%）由企业或商业团体高管占据，其余 8 个分属三名欧盟委员、爱尔兰总理、三名爱尔兰政府部长和一名工会代表，议程上没有公民社会组织和学者。峰会由爱尔兰在担任欧盟理事会主席国期间主办，Google、Microsoft、OpenAI 等美国 AI 公司获得主要发言时段，Meta、IBM、Intel、Nvidia、Amazon、Anthropic、AMD 以及 Stripe、SAP、Mistral 也出现在小组讨论中。峰会正值欧盟就 Digital Omnibus 展开最后阶段谈判，该方案将修改包括 GDPR 在内的数字规则，批评者称之为放松监管。爱尔兰工会 7 月曾公开批评峰会缺少工人代表，组织方随后为通信工人工会（CWU）增加了一个 10 分钟发言时段。
加州大学圣地亚哥分校助理教授黄碧薇创立的 Aether AI 发布因果原生 Agent 系统 CRIS-0，让机械臂基于物理因果变量实时推理而非依赖统计相关性。在咖啡制作干扰测试中，CRIS-0 平均 2 秒内识别因果变量变化并重规划，10 次随机扰动实现 9 次有效恢复；在 20 条隐含推理的模糊指令测试中完成 18 次精准抓取放置，并可在人手突然介入时 0.2 秒安全急停。其因果世界模型 CausalWM 此前在 TriWorldBench 登顶 Leaderboard。
Sophos 通过 OpenAI Daybreak 计划把 OpenAI 模型与其威胁情报、响应手册和安全专业知识结合，使其 MDR 案件平均响应时间从约 38 分钟降至约 89 秒，并让 52% 的 MDR 案件由 AI 端到端解决。其 Sophos Fusion 系统每天从 500 多个第三方集成中汇聚数万亿事件，压缩为约 1000 至 2000 个案件交由九个安全运营中心处理，调查智能体负责收集上下文、检测结果、IoCs 和威胁情报，规划模型则执行“计划—执行—复核”循环。Sophos 保留 Notify、Collaborate、Authorise 三种客户控制模式，可能造成破坏的操作仍需人工监督。
Yang 等人提出 ClinMM-Bench，用 1,089 个来自已发表病例报告的疑难病例和 3,760 张医学图像，评测 15 个多模态大模型在多轮渐进披露信息下的临床诊断推理。基准覆盖皮肤科、急诊、内科、肾内科、神经内科、肿瘤、眼科和放射科八个专科，平均分 5.45 轮对话披露信息，由 GPT-5-medium 和 Claude-4.5-Sonnet 作为独立评审按 0 到 2 分打分。作者将失败归纳为信息综合失败、知识映射错误、感知错误、过早结论和视觉幻觉五类，并发现医学专精在 27B 规模上收益消失、延长推理轨迹未稳定提升准确率且常降低事实召回，神经内科（0.949）和眼科（0.931）得分最高，内科（0.665）和放射科（0.646）最难。作者认为当前模型缺乏自主临床使用所需的推理忠实性，仅靠准确率不足以作为医疗 AI 的安全指标。
Yang 等人的论文提出以持续安全成功定义具身智能的可信度，认为实验室任务完成率不足以作为安全指标，因为具身系统的错误可能造成设备损坏或不可逆的人身伤害。论文将可信度拆为模型层、系统层、证据层和部署层四层功能架构，指出语义与物理鸿沟、动作与后果鸿沟以及跨层不可组合性会导致单层防护失效。作者还给出 T0 至 T5 的非规范性分级，从无可信智能到在受治理变更流程下维持可信，并建议按安全成功、安全失败、不安全成功和不安全失败四类结果评估系统，同时将框架与 ISO 21448（SOTIF）和 ISO 10218 对齐。
Khan 等人提出 CalTwin，一种针对基于 GRU 的医学世界模型的轻量正则化目标，同时应对协变量偏移与置信度错配。在 PhysioNet 2019 Sepsis 上，CalTwin 将 OOD 下一步隐状态 MSE 降低 9.1%，其中 Fisher 信息矩阵惩罚贡献 7.0% 的降幅，但 CMP 单独使用时 ECE 降幅更大（1.3% 对 0.7%）。在 eICU-CRD 上 FIM 惩罚反而比基线差 0.4%，CMP 单独在六项主要指标中的四项优于 CalTwin。
Li 等人提出 HERO，一个无需人类演示即可自主进化操作能力的分层具身智能体，通过启发式推理、范例复用与反射式执行三大模块，将原始物理交互经验逐步固化为闭环视觉运动策略。作者称在多种操作任务上大幅减少了机器人数据采集过程中的人工干预，同时保持稳健的操作性能。该框架存在未被标记的物理错误在策略固化阶段被蒸馏进底层策略、以及模块切换处交接失败等风险。
论文《Physically Real-time Infrared Attack against Optical Flow Estimation Networks》（arXiv:2607.26651）提出一种针对光流估计网络（OFEN）的物理世界实时对抗攻击。作者 Shen You、Wei Jiang、Jiarui Liu 等人设计两阶段流程：先离线预计算大量对抗样本，再在运行时根据场景实时选择或计算最优图案，并通过红外光投影到物理场景中。攻击无需修改目标系统的软件、固件或硬件，仅通过光介质交互，因此 EDR、软件完整性校验和日志监控都不会触发告警。作者在多种光照条件、不同物体运动速度和不同空间位置下做了定性评估，称投影红外图案会系统性破坏网络计算准确运动矢量的能力，但未给出具体的攻击成功率或量化误差率。
一篇综述（Liu 等）系统梳理了基于世界模型的具身智能在完整生命周期中的安全威胁、防御与评估方法，指出预测性世界模型把数字层面的损坏直接转化为物理执行风险。作者区分显式潜在想象模型（如 DreamerV3）与隐式物理先验的通用 VLA（如 OpenVLA、Octo），并提出五条核心洞见：语义到仿真到动作的落差、状态与不确定性条件风险、rollout 到执行的放大、轨迹层面的非组合性，以及预测性安全幻觉。作者还分析攻击者可从观测、动力学、约束、不确定性四个通道绕过 SafeDreamer、VLM-SAFE、RoboGuard 等运行时安全监控，并给出数据溯源审计、多传感器物理不变量、CBF-QP 等执行门控三层防御，以及四步评估协议和对应指标族。
Zhefeng Huang 等人提出 FoMo-FD，一种面向手术机器人模仿策略的执行级运行期失败监测器，只使用成功执行数据训练，无需收集失败示范。它把多视角相机画面经冻结的 DINOv2 与特征空间 β-VAE 压缩为视觉隐变量，用流匹配世界模型预测短时窗口的标称视觉-动作动态，再通过逆传输把实际端点隐变量回推到基高斯空间，以非符合性得分与符合预测校准的阈值比较来触发告警。在 Needle Pickup、Ring over Post 仿真任务和 dVRK 上的 Tissue Retraction、Shunt Insertion 任务中，覆盖 20 种失败模式、320 次失败与 80 次成功 rollout，腕部相机监测达到 96.6% 失败检出率与 1.3% 误报率，固定相机为 45.9% 与 10.0%。
Chin 等人提出 Aging-Aware Autonomous Intelligence（AAAI）框架，把电池容量衰减、传感器漂移、处理器时序误差等底层硬件健康信号转化为一个内部健康标量 h∈[0,1]，直接调节智能体的决策流程。该框架针对"agnostic collapse"失效模式：系统在多个子系统同时缓慢退化时仍按全新硬件执行任务，最终越过未监控阈值而突然失效。AAAI 不替代底层硬件管理技术，而是作为闭环认知封装层，在运行时动态调整模型选择、压缩规划时域并重新排序任务，把剩余寿命当作可分配资源。
Yoon 等人提出 RoboBRIDGE，一个与策略无关的编排框架，用感知、规划、控制、机器人接口和监控五个模块包裹现成的 VLA 策略与经典控制器，把开环动作预测器变成带闭环失败恢复的机器人智能体，论文已被 IROS 2026 接收。框架用约 5Hz 的轻量 VLM 做成功检查，检测到高置信失败后调用高容量诊断 VLM，并按计算成本选择重试、重新生成、重新规划或重新感知四级恢复。在 LIBERO 上以 GR00T-N1.5 为控制器，平均成功率从 35.5% 升到 39.7%，其中 LIBERO-Long 从 10.6% 升到 20.0%；在 RoboCasa 24 项任务上，SmolVLA 从 3.4% 升到 6.9%，GR00T-N1.5 从 4.2% 升到 9.8%。作者也指出感知错误和不可恢复的接触操作失败两类局限。
Yan 等人提出 RedFlow，一个面向流匹配 VLA 策略的离线后训练框架，通过执行上下文匹配从固定混合质量的 rollout 缓冲中提取局部纠正动作目标，无需额外环境交互或人工干预。该方法用归一化本体状态与平滑任务进度构成低维上下文向量，经 HDBSCAN 聚类后以簇加权质心作为失败动作的重定向目标，替代传统轨迹拼接的整段替换。
美国官员称，伊朗、中国与以色列私营公司运营了社交媒体上首批由 AI 智能体自主执行的影响行动。据《纽约时报》报道，这些行动将可下载的中国开源模型与无需人工输入的智能体软件结合，在 Instagram、Facebook、X 和 TikTok 上批量创建虚假账号并投放针对政治议题和时事的编造内容；运营者还移除了模型内置的、本应阻止其生成虚假身份或扭曲网络讨论的限制。调查人员认定中国和伊朗的行动有政府支持，而两起以色列行动与私营公司相关而非国家。另据《卫报》报道，一个以不存在的智库名义运营的亲以色列网站九天内发布 124 篇报告、逾 56 万字，其注册方 Piro Inc. 已按《外国代理人登记法》向司法部登记为代以色列政府分发内容，其底层技术是一项以生成易被 AI 聊天机器人引用内容为卖点的商业服务。
推荐理由报道披露了首批由 AI 智能体自主运营的社交媒体影响行动，涉及中国开源模型与多国主体，可供研究平台滥用与 Agent 自主性风险的人参考。
文章分析了智能体框架中的序列化注入漏洞：攻击者通过提示注入把恶意结构写入智能体状态，框架在持久化与恢复状态时用自身序列化器处理这些数据，反序列化器把带有特定标记的攻击者数据当作受信任的框架对象还原，从而造成任意代码执行、密钥窃取和任意类实例化。文中以 LangGraph 的 CVE-2025-64439（CVSS 9.8）和 LangChain 为例做了原理分析与靶场复现。
推荐理由LangGraph 与 LangChain 序列化注入漏洞可经提示注入触发反序列化，最后达到任意代码执行，为智能体框架的持久化环节提供了具体检查方向。
据分享给投资者的财务文件，OpenAI 年化收入约为 500 亿美元，比此前媒体报道的 700 亿美元低约 200 亿美元。公司近期告知投资者，截至 9 月底年化收入接近 500 亿美元，而 7 月的投资者材料显示当时约为 300 亿美元。差异源于投资者试图将 OpenAI 与 Anthropic 的年化收入做直接比较，两家公司计算方式不同，Anthropic 计入 AWS、Google Cloud 等云合作伙伴的销售收入，OpenAI 则不计入。相关报道发布后美股走低，Nasdaq 100 下跌 1.7%，Nvidia 跌 2.9%，Oracle 跌近 6%，Micron 跌 4%。OpenAI 拒绝置评，并正与投资者洽谈新一轮私募融资，估值可能约 1.4 万亿美元。
推荐理由OpenAI 年化收入与投资者预期相差约 200 亿美元，这一数字是衡量 AI 需求与基础设施投资的重要参照。
提出 MAFIA，以探测放置与事实伪装对带审计 Agent 做查询式记忆投毒。
研究者提出提示词学习攻击框架 PLA，用于在无法获取模型架构与参数的黑盒条件下绕过文生图模型的安全机制。
测量位置混淆优化下的奖励作弊与推理答案解耦。
提出提取对齐 LLM 内嵌安全分类器并攻击其代理的越狱方法。
提出 Ghostwriter 攻击，用伪权威证据条件注入操纵模型观点。
提出 AdvTok 对抗分词攻击，不改文本只改分词来越狱并规避安全分类器。
提出 FalseCite 基准，评测虚构引用如何改变事实幻觉。
提出 StyleBreak 风格化音频越狱，利用语音属性绕过音频语言模型对齐。
提出 PEO，直接优化原提示词嵌入实现白盒越狱。
提出图像排版操纵与多轮提示越狱，绕过交通场景视觉语言模型安全对齐。
研究者提出 FlashRT 框架，用于提升长上下文 LLM 下基于优化的提示注入与知识投毒攻击的效率，同时降低计算和 GPU 显存开销。
研究者提出 Multi-AudioJail，这是首个系统利用多语言与多口音音频越狱漏洞的框架，包含一个对抗性扰动的多语言、多口音音频越狱提示词数据集，以及一套分层评测流程。
提出 CodecAttack，在编解码器隐空间构造可穿透有损压缩的对抗音频。
推荐理由论文提出在神经音频编解码器潜空间构造对抗扰动，绕过此前被视为有效防御的有损压缩，并给出跨编解码器与多场景的成功率数据。
提出视觉推理序列攻击 VRSA，以图像序列越狱多模态大模型。
提出音频叙事越狱，以嗓音投递风格绕过端到端语音模型拒答。
提出 AdvOF，生成对抗物体误导视觉语言导航智能体的场景感知。
提出 GPO-V，用全局概率优化的视觉扰动越狱扩散视觉语言模型。
研究者提出 DIQ-H 基准，首次在连续序列中评估 VLM 在对抗视觉条件下的表现，模拟运动模糊、传感器噪声和压缩伪影，衡量这些损坏如何导致持续错误与价值不一致。
研究者提出一种名为 Reasoning-Oriented Programming 的攻击范式，将越狱类比为系统安全中的 Return-Oriented Programming，利用模型的指令跟随能力把多个语义正交的良性输入组合起来，使有害逻辑只在推理后期才浮现，从而绕过感知层面的安全对齐。
提出激活转向越狱，用随机向量在推理时绕过安全拒答。
推荐理由论文用 JailbreakBench 系统测量激活引导对拒答机制的破坏，并给出可复现的通用攻击构造方法，为可解释性控制的安全性评估提供对照。
研究者提出跨模态提示注入攻击 CrossMPI，仅通过图像扰动即可同时操纵大视觉语言模型对文本和视觉输入的理解。
研究者提出 Latent Fusion Jailbreak（LFJ），通过将有害查询与结构相似的良性查询配对，在选定层和 token 位置插值二者的隐藏状态来诱导模型输出不安全内容。
论文提出 Distributed Semantic Recomposition（DSR）跨模态越狱框架，将有害意图分解为一组良性的文本与视觉原语，借助模型的推理能力在跨模态推理阶段把这些看似无害的组件融合成有害输出。