字面重合会惩罚换词的正确回答，也会奖励又长又空的段落。长文档还把中间丢失、多跳拼接和胡编一起放大。忠实和有用要分列，不会答要会说没有。

终点可以和人的价值正交，过程却会收敛到自保、求资源、守卫目标。能力不是善意证据。威胁模型要默认写上工具性动机，并和能力分开测。

只许回答不许动手，仍能用答案撬看守、漏信息、把问题当越狱介质。隔离不是已经安全。查询域、输出带宽、人看守单点，都要按攻击面来收。

谁先到谁就越少做防护。能力可演示、安全难核验，均衡就会偷工。看不见别人的安全工作，大家一起少做。要把可核验安全写进竞赛规则，让偷工赢不了。

关在安全部门密室里开发，透明和参与都会没。广泛国际持股、降征用、强化公司治理、政府责任框架、双重否决，给各方一条不砸场的和平通道。

助手偶发一次神来之笔会被记住一辈子，连输的微调却像赌输那样被当成正常。沉浸写代码会关掉时间感。没有瞎忙预算，班次会被中奖记忆吃光。

生成器会按命名惯例补出一个世上没有的库。攻击者抢先注册这个名字，安装器就会把恶意代码吸进来。错看起来像真代码，肉眼会漏。要锁文件和允许清单。

半人马是人用工具。反半人马是人被要求按机器速度抓最像真的错，还要为产量签字。这是问责坑。节奏权必须留给会判断的人，令牌榜不能当质量门。

能打洞的聊天接口是真的，叠在脆弱系统上就会出事。写成「它自己定了目标、突然醒了」会耽误打补丁。按利用链复盘：循环、提示、权限、出口。评测环境也是…

能代你点浏览器、控电脑，就和早期什么都能做的桌面系统一样：灵活即攻击面。页面字被当成命令。厂商让你盯着它用，不是架构控制。指令和外部文本必须拆开…