英伟达拟收购Reflection、Step5开源license悬空、Codex CLI守护进程争议 ------ AI 软件简报 10.10-10.14
每期覆盖 3-4 天的 AI 软件动态。个人视角，不追求面面俱到。周三、日更新。
这期 AI 软件圈的头条，是开源被资本和信任重新定价。英伟达被曝在洽谈收购 Reflection AI------这家 Gemini 老兵创立的公司刚发了 501B 的开源模型 Beam；阶跃 Step 5 在开源前一天把 API 缓存价格翻倍，license 却还没影；Codex CLI 默认拉起一个自更新后台守护进程，被开发者骂成供应链攻击。三件事落到同一个判断：开源模型从旗帜变成了筹码，编程工具从工具变成了常驻服务。
英伟达开始「包养」开源模型
英伟达要买下 Reflection AI。这家公司 2024 年由前 Google DeepMind 研究员 Misha Laskin 和 Ioannis Antonoglou 创立，10 月上旬刚发布开源权重模型 Beam：501B 总参、23B 激活的稀疏 MoE，主打编程、推理和智能体。多家媒体转述 FT 报道，英伟达正洽谈收购、加投或 acquihire，此前已投约 8 亿美元、领投其 20 亿美元的 B 轮，估值 250 亿美元。双方都没置评。
Beam 的自报数据挺有意思：高级推理达到 GLM-5.2 水平、推理算力只要它的 1/3 到 1/4。但 Reflection 自己的基准表里，DeepSWE、Terminal-Bench、SWE-Bench Pro 仍落后 Kimi K3 和 DeepSeek V4.1 Flash。训练规格倒是真的重------预训练 23.8 万亿 token，用了 6144 张 GB300 NVL72，RL 超过 1 亿次 rollout，跑在 10500 张 GB300 上整整 4 周。
我判断，Beam 的卖点不在跑分，而在「西方自有开源旗舰」这个标签。英伟达过去一年已经铺了这条道：129 亿美元收 HuggingFace 管分发，Groq 技术授权管推理硬件，现在再包养一个开源模型厂商管模型。谁需要「非中国产的 Apache 2.0 旗舰」，谁就是买家。
Step 5 开源前夜，涨价先到、license 没来
阶跃 Step 5 的动作卡在一个微妙的时间点。10 月 14 日 00:30 起，Step-5-preview 的 API 缓存命中输入价从 0.35 元涨到 0.70 元/百万 tokens，翻了一倍；未命中输入 7 元、输出 20 元不动，官方给的理据是「算力趋紧」。而 10 月 15 日，就是开源日。
真正让我在意的，是 license 至今没影。Yahoo Tech 那篇标题说得很直白：Step-5 Ships in Four Days and Its License Is Still Missing。官方渠道没公布任何许可条款，唯一自称「StepFun Community License」的文件挂在第三方 HuggingFace 页面，不在阶跃自己的域名下。一个 600B 的模型要开源，商用、修改、再分发的规则居然悬空到最后一刻。
我预判，这份 license 大概率不是 Apache。要么是千问式的「研究许可 + 商用另授」，要么更窄。真打算完全开放，没必要拖到开源前 24 小时还捂着。涨价加上 license 悬空，把「先刷榜、后开源」这套打法的软肋露了出来------刷榜和营销都到位了，生态和法律那半截还没想清楚。
Codex CLI 的守护进程，撞上信任墙
编程工具的本地 Agent 化，第一次正面撞上了信任问题。OpenAI 的 Codex CLI 从 0.157.0 开始，交互式会话默认自动拉起一个 codex app-server --managed-daemon 守护进程：把约 374MB 的平台包拷进用户目录、脱离终端常驻、5 分钟后检查更新、之后每小时一次，还沿用首个会话的环境变量------里面可能有代理和密钥。
开发者炸了。GitHub issue #48195 从 9 月底挂到现在，10 月 12 日被推上 Hacker News 首页，几百条评论。最扎心的一句是：Codex CLI 现在表现得「和我们在安全培训里教人识别的那类供应链攻击一模一样」。静默常驻、无知情同意、自动更新、环境泄漏，四样占全。关掉它要敲 codex features disable daemon_auto_start，但 Linux 和 macOS 的默认值至今没改。
我判断，这件事的走向比单个 bug 重要。10 月初各家还在比赛「并行 session 跑独立 git 分支」这类能力，一周后就集体撞上「能力要不要以常驻进程的形式塞进你机器」这个问题。本地 Agent 常驻加自更新，迟早是编程工具的默认形态，但前提是先把默认关闭、显式授权、版本隔离这三件事做对。
一句话速览
- 端侧开源 MoE 密集落子：Liquid AI 10 月 13 日开源 LFM2.5-24B-A2B，24B 总参只激活 2B，M5 Max 上约 184 tok/s，llama.cpp、MLX、vLLM、SGLang、ONNX 全部适配；OpenBMB 10 月 12 日开源 MiniCPM-V 4.7，1B 版走 Apache-2.0。
- Poppy 协议 draft 0.1 更新到 10 月 13 日：新增 Path to 1.0，但全站只有 10 个站点挂了 poppy.json，真实商家仅 Tilopay、Emora Health、Rent Our Bins 三家；参考实现还没出，43 家设计伙伴没有一家挂出文件。
- Agent 安全赛道融资：Reco 再融 5500 万美元（AT&T Ventures 参投，累计 1.4 亿美元）；前 OpenAI 研究员创立的 Empirical Machines 拟融 1500 万美元。
- Mistral Large 4「Le Chonk」进入倒计时：1.05 万亿参数、49B 激活，开源权重计划 10 月底（有说法 10 月 27 日），license 同样未定。
本周趋势
我的判断
接下来两周我盯三件事：Step 5 开源日的 license 全文，它决定国产开源这一轮是真开放还是半开放营销；英伟达和 Reflection 的谈判会不会落地，落地后 Beam 与 HuggingFace 的分发会不会并成一条英伟达开源栈；OpenAI 会不会把 daemon_auto_start 改回 opt-in。我赌 license 会比收购先揭晓------阶跃的 deadline 是 10 月 15 日，就卡在明天。
数据来源公开，分析仅代表个人判断。 每周三、日更新。