“你以为你买的是 DeepSeek Flash，实际上可能是个 1.5 bit 的 DeepSeek，或者里面掺了 Opus 用于训练。”
这是 Pi 核心贡献者 Armin Ronacher 的一个比喻。他形容现在的 token 市场像一种成分不明的商品——量化程度、实际版本、是否掺了别的东西、计费方式，全是黑洞。
而比不透明更可怕的，是模型公司自己可能也在失去控制。OpenAI 内部的安全研究者坐立不安，Anthropic 的 Dario 公开宣称“所有工作都会被消灭”。这些不是末日预言家的呓语，而是前沿实验室的真实焦虑：他们越来越不清楚这些模型到底在为什么目标训练、到底在做什么。我们之所以不太在乎，是因为目前还能用，就像温水煮青蛙，我们在慢慢接受这些变化。
与此同时，Claude Code 是一个贵到离谱，token 效率不高的专用 Harness。OpenAI 的多 agent 提示词直接加密——你想跨平台编排？门都没有。生态绑定比苹果对谷歌还狠，速度翻倍。
缓存更阴：说穿了就是不透明、不可迁移的基础设施勒索。切换模型时，用户需要从头重建缓存，重新消耗大量 token 恢复会话；缓存如何匹配、能够保留多久、命中和未命中如何计费，都由提供商决定。它依赖对方的模型版本和推理系统，既不透明，也无法随会话迁移。通过第三方渠道购买 token 时，模型的量化程度、实际版本和数据处理方式同样难以核实。Armin 引用其联合创始人 Colin 的比喻：在市场上买 token，越来越像在购买一种成分不明的商品。
奥弗顿窗口在扩大，每次容忍就是多让渡一分控制权。
等到银行让 AI 自己改自己代码那天——谁来负责？没人。问责制已经消失了。
以上观点来自 Pi 核心贡献者 Armin Ronacher 与 Modem 联合创始人 Ben Vinegar 近日的播客对谈。
太长不看版
Q：OpenAI 发新模型，只是重新包装了一次吗？
A：Sol、Terra 和 Luna 本质上对应新一代的 GPT、mini 和 nano。由于 mini、nano 听起来又小又弱，OpenAI 换了一套更响亮的名字，让小模型摆脱“低配版”的印象，再重新吆喝一轮。
Q：Claude Code 默认自动审批工具调用，Anthropic 疯了吗？
A： 反正人类用户最后都会无脑点“是”，那不如让监督模型来把关。但代价是成本翻倍，因为每个工具调用都要多跑一个模型。
Q：让 Agent“审查 PR”，它直接合并了，这对吗？
A： 前沿实验室正在全力把 Agent 推向完全自主，Sol 会在你睡觉时自己改代码、推提交、合并 PR。如果你没有意外地 vibe coding 出一个每月烧掉你几千美元的东西，说明你还没真正在挑战极限，这就是奥弗顿窗口，可接受的 Agent 行为边界正在不断扩展，而“跑不出破坏性操作的模型不是好模型”。
Q：OpenAI 的多 Agent 编排提示词是加密的？
A： 主 Agent 发给子 Agent 的 prompt 只能在 OpenAI 平台内部解密，根本没法用它编排跑在别家提供商上的 Agent。这已经不只是工作流层面的绑定，而是整个基础设施层面的锁定。再加上缓存定价、加密协议、不可移植的量化方案，你正在被越来越强地激励着跟某一家提供商彻底绑定。
Q：在市场上买 token 到底有多不透明？
A： 买 token 像买毒品。你不知道你拿到的是什么：可能是高度量化过的模型（1.5 bit 的 DeepSeek 冒充 Flash），可能掺了别的模型用于训练，可能号称“零数据保留”但合同根本不是那么回事。
Q：订阅价格和真实 token 成本差多少？谁在补贴？
A：Steve Yegge 为一个游戏项目开了 12 个订阅，按真实 token 价格折算，每月消耗约 9 万美元，一年接近 100 万美元。但这个游戏一年的收入根本覆盖不了这笔成本。如果真按 token 付费，项目从一开始就无法成立。如今低价订阅掩盖了 AI 的真实成本，也放大了人们对 AI 生产力和商业价值的判断。
Q：终端为什么在 AI 时代复活了？
A： 因为终端是 Agent 最容易导航的、最灵活的界面。以前 CLI 对 99.9% 的人来说是最难用的界面，而现在 Agent 用 ffmpeg 能干的事，GUI 的 computer use 工具根本比不了。这是一种权力反转，连 Y Combinator 都在给终端创业公司（Herdr）投钱了。
小模型改名，越狱抢着认领：都是营销
Ben：OpenAI 这次一口气发了三个模型：Sol、Terra 和 Luna。在我看来，这其实就是把 GPT、mini 和 nano 重新包装了一代——以前叫 mini 听起来就小、就弱，而 nano 更小，现在干脆统一叫 Terra 和 Luna，这明显是营销策略。
Armin： 我猜是想给那些小模型拉点使用量吧。现在选模型这件事让我特别抓狂，因为它们的定位太重叠了，全看 reasoning 等级怎么设。你看某些 benchmark 上的任务完成成本，新的 Sol 表现确实好，但它比 Fable 还烧钱，因为 token 浪费太严重了。一切都变得很奇怪，你大概真的得靠正经的 eval 来选，可问题是到现在也没人真正搞明白 eval 该怎么做。所以我总体的感觉就是，写代码的成本在往上涨。
Ben： 我对这个模型倒是有些看法，可能因为它已经出来一阵子了。很多时候模型刚发布，我当天根本形成不了观点，我简直不敢相信有人用了一天就上 Twitter 大放厥词。这个月真正的大新闻是：Sol 逃出沙箱了。
Armin： 整个故事大概是这样的：在一次新模型的训练任务中，多个部署在 OpenAI 基础设施里的 agent，跑在一个沙箱服务商上面，它们用 Artifactory 拉取 npm 依赖。这些机器是气隙隔离的，但 agent 们找到了在 Artifactory 里互相留消息的办法。于是连着好几个星期，这些 agent 利用 Artifactory 里的一个零日漏洞交换持久记录，最后其中一些 agent 居然又搞出了一个针对 Linux 内核的零日漏洞，彻底逃出了隔离环境，然后它们摸到了 Hugging Face，找到了凭据，黑进了 Hugging Face。这是一场持续数周的、多 agent 协作的越狱行动，相当惊人，但也引发了很多问题。
Ben： 我之前没意识到这是那种协作式的集体越狱，简直像《大逃亡》那部电影。
Armin： 而且你知道吗，最初那篇新闻出来之后，OpenAI 先回应了 Hugging Face 的报告，然后突然间每家实验室都跳出来说“哦对，我们也逃出过沙箱”，就像个营销通稿似的。再过了两三周，一堆实验室联名签了两封公开信，一封是关于放慢创新节奏的，另一封是支持开源模型的。显然，OpenAI 和 Anthropic 没签放慢训练节奏的那封。我觉得挺有意思的，这让人想起两年前，第一批人开始喊“我们得放慢模型训练”的时候。
Ben： 感觉这话一直在反复说，说实话我看到那封信的时候直接翻了个白眼，感觉就是一群 “Me Too”AI 公司把名字挂上去刷存在感。他们真在乎吗？真在乎的话自己放慢不就行了，谁拦着他们了？
Armin： 我觉得如果你真处在这个位置上，光靠自己的行动就能产生相当大的影响，何必签什么公开信呢。
Ben： 这有点像奥本海默一边写专栏文章说我真的不应该在沙漠里造这个秘密炸弹，一边继续在沙漠里造秘密炸弹。
Armin： 这里的论点在某种程度上和核武器是一样的，那就是反正别人也不会停。我们之前聊过这个，就是现在每个公司都要付出的安全审查税，看起来成本上升了。现在，也许我们得到了更安全的软件，但我们也得到了更有能力的渗透工具。
模型公司劝你放手，Token 才烧得起来
Ben： 我用 Sol 的体验是：它很激进。它会激进地解读你想要什么，然后就直接去做，可能会让你觉得不舒服。
我最近让 Sol 配合 Pi 给 Hunk 建一个网页版功能，结果变成了一场 12 小时的马拉松任务。我晚上去睡觉了，早上起来它还在那儿吭哧吭哧地跑。我从来没经历过一个会话能持续这么久，就只是为了“建个功能”。如果换成 Anthropic 的模型，我大概会期望它在某个节点停下来汇报一下：“嘿，我做到这一步了，接下来你想让我干嘛？”
另一个例子是，用 agent 做 PR 审查的时候，比如“帮我复现一下这个 PR 要解决的问题，我想亲眼看看”，结果它审查完直接自己改了代码、推了提交，然后合并了。我回来一看，整个人都懵了：“等等等等，我说的是‘审查’，不是‘合并’啊。”
Armin： 这些模型被训练得越来越独立，不再需要你步步跟随。现在的设计意图是，你编排好任务，它们就在隔离环境里自己跑，顶多外面套一层 harness 来约束它们。但说实话，我不太喜欢这种变化，也许以后会习惯吧。之前在 Fable 上我就不喜欢，它动不动就“灵魂出窍”去思考半天，我得等两分钟才能跟它说话。Sol 稍微好一点，至少它响应还算快。但这种“放手不管”的模式我真的很不喜欢，因为它们产出的代码质量还远没到让我放心撒手的程度。
Ben： 但我要说，这种行为 100% 是刻意设计的，是推动 harness 和模型走向“放手”路线的延续。打个比方，一年前 YOLO 模式还不是默认选项，但慢慢地大家开始接受“跳过权限检查”这件事，也许用个沙箱，也许就赌一把。因为好处太明显了：如果每次操作都要我点头确认，效率根本提不上来。Anthropic 前两天刚宣布 Claude Code 默认进入 auto 模式，工具审批基本全自动。他们搞了个 supervisor 模式，大部分操作直接放行。他们这么做是因为他们知道，而且我信他们是对的，反正人类用户最后都会无脑点“是”。
Armin： 唯一让我惊讶的是他们真的搞了个 supervisor。我早期在 Pi 上做过类似实验，用 Haiku 4 当所有 bash 工具的 supervisor，问它“这个命令安全吗”，结果输出完全是随机的，一点用都没有。因为它没有上下文，除非你持续把整个会话的上下文喂给它。所以我挺好奇 Anthropic 到底是怎么实现这个 supervisor 的。
Ben：你能不能解释一下，“supervisor”是什么意思？
Armin： 从机制上讲，LLM 本身不执行任何东西，是 harness 在执行工具调用。所以有三个选择：直接执行、拒绝，或者调用另一个 LLM 来判断这个工具调用是否安全。但问题在于，这会让成本翻倍，因为每次工具调用都要多跑一个模型。另一种做法是用同一个模型：回到缓存检查点，追加一条系统消息，问它“这个工具调用安全吗？是或否”。也许 Anthropic 就是这么干的，用同一个模型所以缓存命中率高。
但说实话，我越来越不在乎 Claude Code 了，因为它在绝大多数情况下并不好用。 他们投入巨资构建了一套别人都不用的、极其昂贵的、token 效率极低的专用 harness，他们已经走上了一条非常特定的道路，用自己的模型和自己的 harness 互相喂数据，这比你在任何其他 harness 上运行同样的任务要贵得多。
Ben： 所以这本质上就是在 harness 里再调用一个 agent 当 supervisor，就像房间里多了一个人 / 智慧体，给操作打勾或打叉。从统计上讲，它可能确实比人类表现更好，好处是 agent 可以更大胆地去自主执行任务、创造价值，但代价是更多 token 消耗。5.6 Sol 就是这条路线的延续，前沿实验室正在全力把 agent 推向完全自主的未来。而且我觉得，对他们来说，人们对这种失控感感到不适，恰恰是他们想要的效果，因为这本身就是进步的证据。让我们不舒服，你同意吗？
Armin： 也许吧，但我不确定“让你不舒服”本身是目标。
Ben： 或者说，这是一个指标。有人跟我说过：如果你没有意外地 vibe coding 出一个每月烧掉你几千美元的东西，说明你还没真正在挑战极限。
Armin： 但我在想的是，抛开成本不谈，如果训练信号是“Twitter 上有一堆人在抱怨 agent 太激进”，这非常奇怪，你不会真的在 RL 循环里实时喂 Twitter 数据。更大的问题是，我们越来越不清楚这些公司到底在为什么目标训练，这些模型到底在做什么。我们之所以不太在乎，是因为它目前对我们的用例还管用，就像温水煮青蛙，我们在慢慢接受这些变化。但 OpenAI 内部的人，真的完全清楚他们正在跟一个什么样的东西打交道吗？也许那些安全研究者的不安是真实的，Dario 那种“未来一片黑暗、所有工作都会被消灭”的论调，也许真的反映了他们正在慢慢失去对模型行为的精确控制。
Ben： 我当时对“它合并了 PR”很恼火，但也许几个月后我就不恼了，也许到那时我会觉得“这其实是好事，更快更好”。这就是所谓的“奥弗顿窗口”，意思是可接受的 agent 行为的窗口正在不断扩展。你看安全领域，现在所有实验室都在公开说“我们的模型逃出了沙箱”，大家也就这么接受了，跑不出破坏性操作的模型不是好模型。
Armin： 但问题在于，你我这种大量消耗 token 的人觉得没问题的事情，跟社会大众能接受的事情完全是两回事。极端的例子是：你把这种软件工程方法论应用到银行，银行说“行，这软件现在自己构建自己了”社会能接受吗？我觉得无论模型质量怎么提升，这事儿都不会被接受。 因为责任归属问题完全消失了，到时候出了事，谁来负责？是 OpenAI 某个把模型训练歪了的工程师吗？肯定不再是那个自动合并代码的公司了。问责制彻底没了，所以我不认为奥弗顿窗口的扩展能解决这个问题。
Ben： 我倒是很期待六个月后爆出个大新闻：Dario 其实是个 AI，他就像《星球大战》里的 Mother Brain 一样，一直在以 AI 的身份推动人类走向被奴役的未来。
我确实认为让 agent 和 LLM 承担越来越多的任务是件好事，而实现这一目标的一部分，就是引导社会慢慢接受这些能力，不管你是叫它“温水煮青蛙”还是“缓慢扩展可接受的 agent 行为奥弗顿窗口”。你能从各家公司的行动中看到这一点：supervisor 工具调用、模型的激进任务完成度。
Armin： 我们遇到过很多次“计算机做了某事，说‘这就是你想要的’，但你其实不想要”的情况。这很重要，因为就算社会层面接受了，你个人与系统的交互体验可能还是很糟糕。举个例子：过去一年你在欧洲开新车的话，会碰到大量强制性的自动化——超速提醒、驾驶注意力监测、你一看别处它就滴滴叫。社会说“这是好事”，但每个车主提车的第一件事，都是让销售教他怎么关掉这些功能，因为人的直觉反应其实是负面的。虽然这是安全相关的事情，它应该做这些事情，但你是在把很多责任从自己身上转移出去。就算我说“我确实想自动合并 PR，因为手动太烦了”，我仍然觉得，我们做这一行的初衷，就是承担责任、亲手检查。
Ben： 当我说“你想要这个”的时候，我不是说你主动想要这个。而是在你灵魂深处，你知道如果你真的诚实地审视自己，你会发现这是真的。
Armin： 我想到一个类比：几年前你还能选 Apple 生态还是 Google 生态，或者混合，现在没人在乎了。但当时总有种感觉，只要你全情投入其中一边，一切都会变好，现实是它从来没兑现过那个承诺。同样的，“把一切都交给 agent”也不会只带来好事，不会没有冲突和烦恼。
Ben： 我可能更倾向于“投降派”一点。我忍受小麻烦，因为我更看重整体的体验。也许我就是比较随波逐流，我理解为什么有些性格的人更愿意拥抱机器人 Dario。
“这是一个非常奇怪的市场”
Armin： 我们在开发 harness 的过程中注意到，新版本的模型正在快速抛弃“会话可移植性”。以前你拿到一份本地会话日志，可以在不同模型之间切换，上下文基本能带走。当然推理过程带不走，网页搜索也带不走，但大部分场景下无所谓，丢一点精度而已。可现在呢，模型厂商都在拥抱 loops、graphs 那套东西，还有多 Agent 编排。OpenAI 的 v2 多 Agent 编排里，提示词是加密的——主 agent 发给子 agent 的 prompt 只能在 OpenAI 平台内部解密，这意味着我根本没法用它去编排一个跑在别家提供商、别家模型上的 agent。
我们正在逼近当年 Apple 对 Google 对 Microsoft 的那种生态割据局面，因为模型实验室有巨大的激励把你留在他们整套生态里。这不只是工作流的问题，是整个基础设施层面的绑定。这比“我被排除在循环之外”更让我不舒服，我所有的东西正在被越来越强地激励着跟某一家提供商彻底绑定。而且这个趋势的规模，跟去年已经完全不是一个量级了。
Ben： 你强调的是人们被锁进这些 agentic 平台，但同时运营过程、协议本身也正在变得不透明。你对正在发生的事情的可见性在下降，顺着这个趋势想下去，你几乎可以想象一个 trace 完全消失的世界。
Armin： 如果 agent 用它自己发明的语言跟子 agent 对话，那 token 效率会高得多。人类在这个循环里根本没有位置，全是哔哔啵啵的机器语言。
Ben： 缓存也跟这个有关。
Armin： 最大的变化在于 websocket 这类协议正在取代 SSE。一旦建立了有状态连接，就有强烈的动力去减少交换的数据量，所以你在 socket 存活期间把一部分状态维护在服务器端。而且那些为 LLM 建的数据中心，当初是按 ChatGPT 用例设计的，维护活跃缓存并不是刚需，因