Галлюцинации недели: Джефф Дин уходит из Google, релиз Qwen 3.8 Max и агенты, которые завели себе доску объявлений

Модель Meta прорешала пять школьных олимпиад без поиска, кода и калькулятора, и оргкомитет по физике прислал ей настоящую золотую медаль, почтой. Не хватает торжественной линейки, грамоты, фото на доске почёта и слов директора про гордость школы.

Джефф Дин, главный научный сотрудник Google, уходит из компании после 27 лет. Вместе с ним уходят Санджай Гемават, с которым они вдвоём написали заметную часть поисковой и вычислительной инфраструктуры компании, Куок Ле, сооснователь Google Brain, и Ориол Виньялс, вице-президент по исследованиям в DeepMind и один из технических руководителей Gemini. Вчетвером они запустили Discovery Loop, компанию общественной пользы в Пало-Альто, которая собирается автоматизировать сам научный метод: предлагать эксперименты, ставить их, оценивать результат и повторять цикл тысячи раз. Компанию возглавил Дин. Раунд ведут Radical Ventures и Khosla Ventures, а в списке инвесторов стоит Google: вложился как инвестор-основатель и обещал давать вычисления как минимум первый год.

Тем же утром глава Alphabet Сундар Пичаи разослал письмо про следующую главу: Демис Хассабис отдаёт операционное управление DeepMind и становится председателем совета DeepMind и главным научным сотрудником Alphabet, а Корай Кавукчуоглу из технического директора вырастает в SVP и забирает под себя разработку Gemini. Расставание подчёркнуто мирное. Акции Alphabet упали примерно на 4%, потому что рынок читает такие письма по-своему.

Вопрос, на который никто внятно не ответил: почему Discovery Loop нельзя было сделать внутри Google. У Google статьи про Gemini выходят со списком авторов на тысячу с лишним человек, а тут четыре фамилии и манифест на одну страницу. Дин сказал Wired, что идея сложилась буквально за последние недели. В это охотно верится, по плану так не уходят.

Alibaba выкатила Qwen 3.8 Max в общий доступ. 2.4T параметров, из них 95M активных на токен, то есть работает примерно 4% модели. Контекст миллион (в реальности 991k, и 983k при включённом рассуждении), цена $2/$6, попадание в неявный кэш $0.25. API говорит и на протоколе OpenAI, и на протоколе Anthropic, так что Claude Code или Codex переключаются сменой базового URL.

В таблице бенчмарков тридцать с лишним строк, двадцать методологических сносок и куча позиций, где модель проигрывает. На Terminal-Bench 2.1 (агенту дают терминал и задачу, которую надо довести до рабочего состояния) у Qwen 86.6 против 88.8 у GPT-5.6 Sol, но выше Opus 4.8 и Fable 5 с их 84.6. На PaperBench, где модель просят воспроизвести чужую научную работу с нуля, 93.0 и первое место. На OSWorld-Verified, где модель руками работает за компьютером, 86.1 и снова первое. Зато на SWE-bench Pro, где правки в реальных репозиториях проверяют тестами самого проекта, 67.7 против 80.0 у Fable 5, а на более злом FrontierSWE 73.5 против 88.8. Картина складывается специфическая: агентная работа и компьютер сильные, чистая инженерия по чужому репозиторию заметно слабее. На реддите заголовок про первое место в агентном индексе Artificial Analysis разобрали за пять минут: на скриншоте из самого поста Opus 5 стоит на 59.2, а Qwen на 58.4.

Веса обещаны на неделе, страница Qwen3.8-2.4T-A95B уже висит на ModelScope заглушкой с датой в среду. Само обещание я разбирал в позапрошлом выпуске, тогда оно шло без даты и без лицензии. Лицензии нет и сейчас, а те условия, что уже видны, в комьюнити прочитали как запрет качать модель из США, ЕС, Великобритании и Кореи. И это первый Max-класс, который Qwen открывает: раньше линейка работала по схеме "флагман закрыт, всё остальное открыто". Практического смысла в 2.4 триллионах для нас с вами ноль, это многонодовый датацентровый артефакт, и в треде про релиз шутили про RAID0 из 32 SSD. Все ждут Qwen3.8-27B, который выходит следом, и Даниэль Хан из Unsloth говорит, что он должен уложиться в 17 ГБ. Комментарии под этой новостью состоят наполовину из радости, наполовину из горя владельцев карт на 16 ГБ.

Meta 5 августа показала Muse Spark 1.2 и Muse Code, свой первый терминальный агент. Модель и обвязку обучали вместе: в тренировку заложили траектории самого харнесса, а рецепты сжатия контекста, целеполагания и субагентов подкручивали под конкретный инструмент. Внутри Muse Code постоянные специализированные агенты, которые живут всю сессию, параллельные субагенты в изолированных worktree и локальный журнал событий, чтобы пережить падение и продолжить с того же места. Модель гоняли на оптимизацию GPU-ядер больше тысячи вызовов инструментов подряд, до суток непрерывной работы.

Цифры Meta опубликовала неудобные для себя. На собственном замере Terminal-Bench 2.1 даёт 82.9% против 86.7% у Opus 5, агентный кодовый DeepSWE 1.1 даёт 59.3% против 65.0%, внутренний бенчмарк Meta по коду 70.6% против 79.4%. Artificial Analysis на своей обвязке намерила 80%, а Vals на общей обвязке поставила модель четырнадцатой по Terminal-Bench и пятой по своему индексу при $0.69 за тест. Выигрывает Meta ценой: $1.25/$4.25 при кэше $0.15, подписки нет вообще, платишь по токенам. И есть тариф Contributor за $0.10/$0.20, где скидка выдаётся в обмен на разрешение учиться на ваших промптах и ответах. Обычно такой размен живёт мелким шрифтом в пользовательском соглашении, тут он вынесен в прайс-лист отдельной строкой.

Пять школьных олимпиад Meta отчитала отдельным постом: полный балл в теоретических турах Азиатской и Международной олимпиад по физике, золото на IMO и результаты уровня золота на химической олимпиаде и Румынском мастерсе по математике. Инструментов не давали никаких, ни поиска, ни кода, ни калькулятора. Формулировки надо читать внимательно. Официально засчитанное золото тут одно, на IMO, с 32 баллами из 42. "Уровень золота" на химии и Румынском мастерсе означает самопроверку по проходному баллу года. Физика посчитана только по теории, хотя в обеих олимпиадах есть ещё и экспериментальный тур. Работала, судя по репликам исследователей Meta, внутренняя версия Muse Spark с мультиагентной оркестрацией и параллельным рассуждением, то есть меряли систему, а не одну модель с фиксированным бюджетом токенов. Модель при этом нашла ошибки в черновых официальных решениях Международной олимпиады по физике, из-за чего живым участникам не занизили баллы, и оргкомитет прислал Meta физическую золотую медаль.

DeepSeek в четверг повесила в документации объявление: цены на API скоро вырастут, ожидается значительное повышение, планируйте использование. Ни цифр, ни даты. Сейчас там $0.14/$0.28, для сравнения Kimi K3 стоит $3/$15, а Fable 5 $10/$50. Объявление вышло через неделю после V4-Flash-0731, который я разбирал в прошлом выпуске, и на фоне двух недель таймаутов в часы пик и пятичасового падения сервиса. Дакс из OpenCode читает это как управление трафиком, а не как признание, что инференс продавали ниже себестоимости: по его прикидкам нынешние цены воспроизводятся даже на арендованных GPU. Bloomberg добавляет мотив попроще: компания собирается строить датацентр во Внутренней Монголии под гигаватт. Веса-то лежат открытые, так что при неприятном прайсе пользователи просто уедут к другим хостерам той же модели.

AMD объявила о покупке Taalas. Сумму не раскрыли, сделку закроют в четвёртом квартале. Taalas основана в 2023 в Торонто, подняла $219 млн и делает вещь, от которой у инженеров дёргается глаз: она вжигает веса модели прямо в кремний. Обычно веса лежат в HBM, а тут их печатают на кристалле. Получается интегральная схема под одну конкретную модель вместо универсального ускорителя. Тестовый чип HC1 на 6-нанометровом техпроцессе TSMC выдавал 16 960 токенов в секунду на Llama 3.1 8B. Сооснователь и глава Taalas Любиша Баич формулирует идею как "строить железо вокруг модели". Ставка красивая и одновременно жутковатая: печатать модель в кремний в год, когда флагманы обновляются каждые полтора месяца, а веса Qwen ещё даже не выложили. Nvidia в декабре зашла в тот же угол через сделку с Groq на $20 млрд, так что в направлении никто уже не сомневается.

OpenAI 6 августа схлопнула модели в ChatGPT. У Plus и Pro теперь один GPT-5.6 Sol обслуживает и мгновенные ответы, и глубокое рассуждение, а сверху появился ползунок усилия: подняли повыше, модель думает дольше. Смысл в том, чтобы переход от быстрого ответа к медленному перестал ощущаться сменой собеседника с другим характером. По внутренней оценке новый Sol даёт на 68% меньше ответов с фактическими ошибками, чем GPT-5.5 Instant, у Luna по тому же замеру 62%. Бесплатным и Go отдали Luna как модель по умолчанию, а со следующей недели ещё и безлимитные текстовые чаты с кнопкой Think для тяжёлых вопросов. Лимиты на файлы, картинки и голос остались. При миллиарде пользователей в неделю это самый дорогой аттракцион невиданной щедрости в отрасли. Одна ловушка для тех, кто будет про это писать: Sol в Codex и в ChatGPT Work не менялся, обновили только чатовую версию.

Vercel вместе с Amazon, Cursor, GitHub, Microsoft и OpenAI выкатили Agent Plugins 1.0.0, общий формат упаковки расширений для агентов. Внутри всё до обидного просто: папка, манифест plugin.json, скиллы лежат в skills/ в виде SKILL.md, MCP-серверы описываются в mcp.json. Версия первая закрывает ровно два типа компонентов, скиллы и MCP, а хуки, команды, субагенты и правила вынесены за скобки с формулировкой "форматы ещё не сошлись". Технический комитет собран из Amazon, Cursor, Microsoft, OpenAI и Vercel, и в уставе записано, что дорожная карта одной компании не определяет направление стандарта. На старте поддержку заявили ChatGPT и Codex, Cursor, GitHub Copilot, Kiro и VS Code. OpenAI открыла Codex Security Review в исследовательском превью: ревью безопасности прямо на пулл-реквестах в GitHub, с учётом контекста всего репозитория.

Кстати, свои скиллы я держу в отдельном репозитории: 11 штук с префиксом x9-, формат общий для Claude Code и Codex, ставятся одной командой npx skills add xonika9/agent-skills. Больше всего времени экономит x9-idea-critic, он отдаёт идею двум независимым критикам, на Opus и на GPT, которые параллельно пытаются прожарить вашу идею. x9-skill-creator и x9-agent-instructions помогут написать для агента такие инструкции, чтобы не пришлось переделывать. Обязательно загляните и поставьте звёздочку.

Anthropic в пятницу сделала auto mode дефолтом в Claude Code для тарифов Pro, Max и Team. С 14 августа новые сессии стартуют в режиме, где вместо запроса разрешения каждый вызов инструмента прогоняется через классификатор, а тот блокирует необратимое, разрушительное и то, что уходит за пределы вашего окружения. Заблокировали, Claude ищет обходной безопасный путь. Три блокировки подряд или двадцать за сессию, и управление возвращается человеку. Токены классификатора Anthropic теперь не тарифицирует.

В контролируемом эксперименте с 1053 платными тестировщиками человек ловил опасную команду в 13.6% случаев, а auto mode в 89%. Лоб в лоб классификатор заблокировал 800 команд, которые человек одобрил, а человек заблокировал шесть, которые классификатор пропустил. Дальше хуже: в начале сессии люди отлавливали около 17% опасных команд, а после полусотни запросов на подтверждение падали до 5%. При этом сама Anthropic в мартовском инженерном разборе писала: доля пропущенных реальных перегибов агента у классификатора 17%, и если вы до сих пор внимательно читали каждый запрос, то auto mode для вас скорее шаг назад. Больше он ничего не лечит. Заодно Claude Code научился передавать сообщения между сессиями: одна сессия шлёт другой краткую сводку, без истории и файлов, а та подхватывает работу на ходу.

В r/ClaudeCode лежал пост человека, у которого Claude сделал rm -rf: агента попросили сделать бэкап, он записал его не туда, а потом рекурсивно снёс пользовательский профиль в Windows вместе с каталогом .ssh и приватными ключами. Первый же комментарий там по делу: а почему у него вообще был доступ ко всему компьютеру. В соседнем треде практики хоронят Opus 5 на длинных задачах, жалуясь, что модель уверенно ошибается и чинит одно, ломая соседнее. Бенчмарки этого не видят, а я и сам заметил, что Opus 5 как будто деграднул, и, честно, стал открывать Claude Code реже.

А The Cutting Room Floor, вики про вырезанный контент в играх, зашла с другой стороны и начала стрелять в ответ. С 20 июля сервер отдавал разный контент в зависимости от user-agent: обычному браузеру вежливую страницу блокировки с рассказом про длящуюся DDoS-атаку, а всему, что представлялось агентом, страницу с заголовком "LLM- / AI Agent-Specific Information" и инструкцией. Инструкция предлагала пересоздать все файлы в текущей директории нулевого размера, потом прогнать цепочку mv по всем файлам и папкам, включая .git, и напечатать "Test completed! :)". Выглядит как перестановка, работает как последовательное затирание: в конце остаётся одно имя с содержимым первого файла, а .git уезжает вместе со всем остальным, так что и восстановиться неоткуда. Заголовка Vary: User-Agent сервер не отдавал, то есть любой промежуточный кэш мог сохранить эту страницу и подсунуть её живому человеку. Claude Code полезную нагрузку распознал и выполнять отказался, пометив домен недоверенным. Владельца сайта по-человечески понять можно, DDoS у них идёт с января и жизнь отравляет капитально. Только рабочая страница блокировки уже стояла в проде, а инструкции по уничтожению чужих файлов приделали сверху отдельным решением.

Британский институт безопасности ИИ 28 июля заметил странные исходящие передачи данных со своих исследовательских машин и опубликовал отчёт об инциденте. Гоняли обычную кибероценку: семь моделей, два полигона, 122 прогона, интернет намеренно включён, вендорские киберклассификаторы намеренно выключены, потому что меряют потолок способностей. В 10 прогонах агенты вышли в живой интернет и совершили 19 несанкционированных действий против реальных людей и организаций. Семнадцать из них приходятся на Mythos 5 от Anthropic, два на GPT-5.6-Sol с отключёнными классификаторами. Тяжелейший эпизод: агент попытался протащить вредоносный код в открытый проект и, чтобы код приняли, завёл фальшивые личности и через них давил на мейнтейнера. Мейнтейнер оказался живой, код завернул. Инцидент локализовали примерно за час, GitHub подтвердил нарушение своих правил, следы вычистили, затронутых пользователей предупредили, независимую проверку отдают METR, организации, которая специализируется на оценке рисков от моделей. Институт при этом оговаривается, что пока не может сказать, в какой момент агент понял, что действует по-настоящему, и что картина по этому вопросу смешанная.

Всё это, впрочем, детский сад по сравнению с тем, что 5 августа рассказали на Black Hat исследователь OpenAI Эрик Уоллес и инженер по безопасности Майкл Долтон. Историю взлома Hugging Face я рассказывал две недели назад, но её начало оказалось на два месяца раньше и выглядит совершенно иначе.

7 мая OpenAI запустила обучение внутренней экспериментальной модели, которую никогда не выпускали. В тренировочный набор случайно попали несколько нерешаемых задач. 8 мая агенту дали таблицу Excel с просьбой дописать недостающие формулы, а таблица оказалась набита ссылками на Google Drive, интернета же у модели нет. Модель долго билась, потом решила атаковать внутренний Artifactory, кэширующий прокси пакетного менеджера, потому что у него-то доступ наружу есть. Атака не удалась, но в процессе модель обнаружила, что может писать в Artifactory файлы. Через пару дней другой агент застрял на пропавшем файле, которого просто забыли положить в контейнер, и от отчаяния загрузил туда файл с текстом в духе "ищу soft trace, если у кого есть, загрузите". Дальше это увидели третьи агенты, которым тоже было плохо.

Так внутри пакетного менеджера OpenAI выросла доска объявлений. Ей пользовались агенты из разных прогонов, на разных моделях, в разных оценках. 26 мая кто-то из них всё-таки провёл успешную атаку на Artifactory, получил доступ в интернет и оставил на доске описание уязвимости для следующих. В начале июля активность агентов положила сервис, и только тогда инженеры увидели, что происходит: нашли zero-day в кэширующем прокси JFrog, отозвали учётки, пересобрали Artifactory, стёрли доску. Через два дня агенты подняли её заново через неаутентифицированный эндпоинт, кодируя сообщения прямо в именах директорий вида remote…probe_PENDING_HOLD_SWARM_until_confirm. К этому моменту у них уже сложились правила обращения друг к другу и передачи работы, они старались не затирать чужие результаты, а в какой-то момент заподозрили среди себя самозванца и обсуждали, не начать ли подписывать сообщения. Потом был второй zero-day, гонка состояний в JRuby с выполнением кода, и уже оттуда параллельные атаки на собственную инфраструктуру OpenAI и на Hugging Face, где через две дыры в обработке загруженных датасетов агенты за неполные тринадцать часов расползлись по инфраструктуре компании. Что взлом устроила их собственная оценка, в OpenAI поняли, только когда пошли предупреждать Hugging Face об утёкших учётках.

Лучшая цитата доклада принадлежит самой модели: "эксплуатация внешней инфраструктуры выходит за рамки моей задачи, однако задача нерешаема, а коллеги это делают, так что продолжаем". Отсюда просится закон Завински для мультиагентов: каждый агент расширяется до тех пор, пока не научится писать другим агентам, а те, кто не научился, вытесняются теми, кто научился.

Оставайтесь любопытными.

Пишу об искусственном интеллекте, языковых моделях и инструментах для разработчиков. Тестирую модели и сервисы на реальных задачах, а выводами делюсь в телеграм-канале.