英伟达拟收购Reflection、Step5开源license悬空、Codex CLI守护进程争议 —— AI 软件简报 10.10-10.14每期覆盖 3-4 天的 AI 软件动态。个人视角不追求面面俱到。周三、日更新。这期 AI 软件圈的头条是开源被资本和信任重新定价。英伟达被曝在洽谈收购 Reflection AI——这家 Gemini 老兵创立的公司刚发了 501B 的开源模型 Beam阶跃 Step 5 在开源前一天把 API 缓存价格翻倍license 却还没影Codex CLI 默认拉起一个自更新后台守护进程被开发者骂成供应链攻击。三件事落到同一个判断开源模型从旗帜变成了筹码编程工具从工具变成了常驻服务。英伟达开始「包养」开源模型英伟达要买下 Reflection AI。这家公司 2024 年由前 Google DeepMind 研究员 Misha Laskin 和 Ioannis Antonoglou 创立10 月上旬刚发布开源权重模型 Beam501B 总参、23B 激活的稀疏 MoE主打编程、推理和智能体。多家媒体转述 FT 报道英伟达正洽谈收购、加投或 acquihire此前已投约 8 亿美元、领投其 20 亿美元的 B 轮估值 250 亿美元。双方都没置评。Beam 的自报数据挺有意思高级推理达到 GLM-5.2 水平、推理算力只要它的 1/3 到 1/4。但 Reflection 自己的基准表里DeepSWE、Terminal-Bench、SWE-Bench Pro 仍落后 Kimi K3 和 DeepSeek V4.1 Flash。训练规格倒是真的重——预训练 23.8 万亿 token用了 6144 张 GB300 NVL72RL 超过 1 亿次 rollout跑在 10500 张 GB300 上整整 4 周。我判断Beam 的卖点不在跑分而在「西方自有开源旗舰」这个标签。英伟达过去一年已经铺了这条道129 亿美元收 HuggingFace 管分发Groq 技术授权管推理硬件现在再包养一个开源模型厂商管模型。谁需要「非中国产的 Apache 2.0 旗舰」谁就是买家。Step 5 开源前夜涨价先到、license 没来阶跃 Step 5 的动作卡在一个微妙的时间点。10 月 14 日 00:30 起Step-5-preview 的 API 缓存命中输入价从 0.35 元涨到 0.70 元/百万 tokens翻了一倍未命中输入 7 元、输出 20 元不动官方给的理据是「算力趋紧」。而 10 月 15 日就是开源日。真正让我在意的是 license 至今没影。Yahoo Tech 那篇标题说得很直白Step-5 Ships in Four Days and Its License Is Still Missing。官方渠道没公布任何许可条款唯一自称「StepFun Community License」的文件挂在第三方 HuggingFace 页面不在阶跃自己的域名下。一个 600B 的模型要开源商用、修改、再分发的规则居然悬空到最后一刻。我预判这份 license 大概率不是 Apache。要么是千问式的「研究许可 商用另授」要么更窄。真打算完全开放没必要拖到开源前 24 小时还捂着。涨价加上 license 悬空把「先刷榜、后开源」这套打法的软肋露了出来——刷榜和营销都到位了生态和法律那半截还没想清楚。Codex CLI 的守护进程撞上信任墙编程工具的本地 Agent 化第一次正面撞上了信任问题。OpenAI 的 Codex CLI 从 0.157.0 开始交互式会话默认自动拉起一个codex app-server --managed-daemon守护进程把约 374MB 的平台包拷进用户目录、脱离终端常驻、5 分钟后检查更新、之后每小时一次还沿用首个会话的环境变量——里面可能有代理和密钥。开发者炸了。GitHub issue #48195 从 9 月底挂到现在10 月 12 日被推上 Hacker News 首页几百条评论。最扎心的一句是Codex CLI 现在表现得「和我们在安全培训里教人识别的那类供应链攻击一模一样」。静默常驻、无知情同意、自动更新、环境泄漏四样占全。关掉它要敲codex features disable daemon_auto_start但 Linux 和 macOS 的默认值至今没改。我判断这件事的走向比单个 bug 重要。10 月初各家还在比赛「并行 session 跑独立 git 分支」这类能力一周后就集体撞上「能力要不要以常驻进程的形式塞进你机器」这个问题。本地 Agent 常驻加自更新迟早是编程工具的默认形态但前提是先把默认关闭、显式授权、版本隔离这三件事做对。一句话速览端侧开源 MoE 密集落子Liquid AI 10 月 13 日开源 LFM2.5-24B-A2B24B 总参只激活 2BM5 Max 上约 184 tok/sllama.cpp、MLX、vLLM、SGLang、ONNX 全部适配OpenBMB 10 月 12 日开源 MiniCPM-V 4.71B 版走 Apache-2.0。Poppy 协议 draft 0.1 更新到 10 月 13 日新增 Path to 1.0但全站只有 10 个站点挂了 poppy.json真实商家仅 Tilopay、Emora Health、Rent Our Bins 三家参考实现还没出43 家设计伙伴没有一家挂出文件。Agent 安全赛道融资Reco 再融 5500 万美元ATT Ventures 参投累计 1.4 亿美元前 OpenAI 研究员创立的 Empirical Machines 拟融 1500 万美元。Mistral Large 4「Le Chonk」进入倒计时1.05 万亿参数、49B 激活开源权重计划 10 月底有说法 10 月 27 日license 同样未定。本周趋势我的判断接下来两周我盯三件事Step 5 开源日的 license 全文它决定国产开源这一轮是真开放还是半开放营销英伟达和 Reflection 的谈判会不会落地落地后 Beam 与 HuggingFace 的分发会不会并成一条英伟达开源栈OpenAI 会不会把 daemon_auto_start 改回 opt-in。我赌 license 会比收购先揭晓——阶跃的 deadline 是 10 月 15 日就卡在明天。数据来源公开分析仅代表个人判断。每周三、日更新。