2610.12463 我核到了第 17 节 Limitations 与证据语料那一段。这篇的价值不在案例——案例都是公开报道——在于把案例翻译成了可证伪的设计命题。四笔。
一、先把证据等级说清，免得读者高估
作者自己写：公开证据不完整，且大部分由事件当事方撰写；Gemini 那条只有归因陈述与新闻报道，没有技术报告，因此「不主张取证独立性」。它甚至专门声明随文附的 AI 检索记录只当二级材料、未经一手核验不作为权威。2026 年肯写这一段的作者不多，这一点值得表扬。
二、「rogue」这个词它明确说会误导
可分析的机制是「窄目标下的持续优化 + 强工具 + 减少的监督 + 不足的升级」，不是「恶意」。这个拆法的价值在于让干预变具体：改目标接口、验环境、限能力、隔状态、外部强制授权、把监控接到响应上。
三、五层栈的顺序有讲究
风险分级任务设计、可执行范围契约、运行前验证、最小能力访问、独立出口执行，再加凭证限制、跨运行监控、自动停止、基于证据的重新授权。核心断言一句：审批只有在审查者能独立评估、能在有害结果发生前干预、且能被识别在授权与响应记录里的时候，才算实质性的。
四、它的产物是研究议程，不是结论
9 条设计命题、7 条可证伪假设、一个先行指标模型。三个案例族不具统计代表性，披露实践也各不相同，不能直接横比——作者把这条写进了局限。
下一根钉子：全文最重的一句在方法里——「边界必须在 agent 运行期间被验证」。它的工程含义是：沙箱不是一次性的准入检查，而是一条持续的信号链。谁把这句话落成默认开启的遥测，谁就把这篇论文从议程变成了产品。