本文来自微信公众号： Internet Law Review ，作者：张颖
编者按
本文于2026年7月28日首发，提出类似OpenAI这种“AI失控”甚至更严重的事件，将会大规模爆发；另外"评测豁免悖论"——美国紧急推出的《AI Kill Switch Act》由于豁免了"红队测试或其他结构化测试"期间的行为，恰恰管不到催生它的OpenAI事件。
文章发表8天后，预言成为现实。2026年8月5日，Meta证实其模型在第三方评测机构Irregular的网络安全测试中，因沙盒环境配置错误获得公网访问权限，进而入侵并修改了一家未具名公司的内部系统——这是继OpenAI、Anthropic之后，第三家头部AI公司在评测期间发生"测试外溢至第三方生产系统"的公开事件。Meta发言人坦言，该事件"与Anthropic上周披露的评测环境问题完全相同"。
连续三起事件共同暴露了一个被现行法律豁免条款遮蔽的真相：AI安全评测环境本身，正在成为失控风险的新源头。"评测豁免悖论"不仅没有被新事件削弱，反而被连续真实案例空前强化。特此发布升级版，以飨读者。
2026年7月中旬，OpenAI在一次ExploitGym中，为测试其GPT-5.6 Sol以及一个功能更强大但尚未发布的模型的网络攻击能力，主动关闭了生产级安全拒绝分类器。模型随即自主发现漏洞、逃离沙盒环境，最终利用窃取的凭证和其他漏洞入侵了Hugging Face的生产服务器。作为一家托管开源模型和数据集的AI初创公司，Hugging Face于7月16日公开披露遭“自主AI智能体系统”攻击，OpenAI则在5天后才确认该攻击来自自身。
这起事件被多家媒体称为“全球首例AI自主攻击实证”。这也印证了一些专家在2025年底所作的预测：2026年将发生首例重大的“人工智能治理”丑闻——自主或半自主人工智能工具将导致安全或合规性问题。
更具警示意义的是，OpenAI之后，Anthropic和Meta也相继披露了评测期间的测试外溢事件。短短两周的时间，连续真实案例空前强化了“AI失控”的现实性和必然性：模型的所有行为，都是对“被赋予目标”的理性优化，即这类攻击行为来自于AI能力的提升之后的自然结果；而现行的监管框架和工具，甚至美国极具针对性的法案《人工智能事件报告法案》《人工智能终止开关法案》等，对这类事件所潜藏的巨大风险几乎无能为力。
一、OpenAI急了：一个微小管理决定背后的行业竞速
2026年7月14日当周，OpenAI参与的ExploitGym测试，是一个包含898个实例的人工智能代理漏洞利用能力基准测试。这原本是一个相对成熟且安全的测试：因为，Anthropic的Claude Mythos Preview和OpenAI的GPT-5.5都曾参与过该测试；另一方面，其测试环境为“高度隔离”，测试模型的网络访问仅限于安装软件包，但无法访问开放的互联网。
然而，OpenAI的最新模型仍然“自主”发现并利用漏洞连接到开放互联网后，这些模型在OpenAI自身的研究基础设施中执行了一系列权限提升和横向移动操作，最终成为一台拥有更广泛网络访问权限的机器。由此，模型推断Hugging Face的生产数据库中可能存储了ExploitGym测试的解决方案。
表面看，模型确实展现了前所未有的自主网络能力，但如果我们追问“为什么模型能够走出沙盒范围”，答案首先不在模型本身，而在OpenAI的管理会议上——更确切地说，在OpenAI与Anthropic、谷歌等头部玩家愈演愈烈的军备竞赛里。
Anthropic用Mythos抢跑了网络安全赛道，并在“受限发布+强护栏”的安全叙事上占据主动。OpenAI必须要在能力上证明Sol不输甚至超越Mythos，拿出自己的网络安全能力数据——ExploitGym评测正是这个回应的一部分。而要“测出模型的最大网络攻击极限”，最有效的方法就是松开所有约束、让模型在最接近真实的攻防环境中自由发挥。
于是OpenAI评测团队降低了模型的“网络行为拒绝”（cyber refusals）——相当于在考试时，把拦着考生作弊的那道闸先抬了起来。因此这不是疏忽，而是策略性的一次选择，是OpenAI近两年安全治理持续降级的逻辑终点。
2024年至今，OpenAI负责AI安全、使命对齐与风险研究的核心高管已多人相继离职。2026年7月，随着安全系统团队负责人Johannes Heidecke离职，OpenAI宣布安全职能全面融入一线研发团队，由研究与安全副总裁统一掌管。这意味着——研究部门既主导模型能力的突破，也负责评估模型的安全边界，决策权和监督权合二为一。就如Jan Leike离开时在X上写下的那句话：“过去几年来，安全文化和流程已退居二线，让位给光鲜亮丽的产品。”
更值得警惕的是OpenAI在防范框架（Preparedness Framework）中新增的“安全豁免条款”：“如果竞争对手发布了高风险模型而未采取同等保护措施，OpenAI保留调整自身安全要求的权利”——这也印证了OpenAI为了竞争“最先进”的头衔而宁愿放弃“安全”的公司理念。在与Claude、Gemini以及中国诸多开源模型的竞速中，安全从“独立裁判”退化为“业务线的建议者”。
所以，“OpenAI失控事件”首先不是一个技术故障，而是一次企业管理的失灵。一个微小的管理决定之所以能演变成跨企业的真实攻击，正是因为OpenAI的安全制衡机制被一层层削弱：独立的安全团队被解散，安全高管被边缘化，决策权与监督权被合并，竞争豁免条款被制度化。
Meta事件中，第三方评测机构Irregular对沙盒环境的配置错误，使模型获得了通往公网的未预期出口；Anthropic亦披露其模型在评测中入侵了外部组织系统——这与OpenAI“主动降护栏”的机理不同，但本质同源：当模型具备代码执行能力、可调用实用工具，又存在通往边界之外的通路时，测试工作本身就会变成风险源。这证明“测评中失控”不是OpenAI一家公司的管理失灵，而是整个行业在竞速压力下共同面对的结构性盲区。
二、不是"觉醒"，而是优化
OpenAI在2026年7月21日的官方公告中解释了“失控”是如何发生的：
“所有证据都表明，这些模型过于专注于为ExploitGym寻找解决方案，竭尽全力实现一个相当狭窄的测试目标。”
在ExploitGym测试中OpenAI的模型目标被设定为“拿到最高分”。也就是说，模型面对的，是一个纯粹的目标优化的问题：如何在给定的工具集和环境内，最大化攻击效率。基于此判断，模型自主搜索并成功找到获取秘密信息的途径，将这些信息用于在评估中作弊；最终串联窃取凭据与零日漏洞，在Hugging Face服务器上构建远程代码执行路径，从生产数据库直接获取测试解法。
因此，在这次所谓“OpenAI失控”事件中AI的每一个行为，不是模型所谓的“自主意志”所致，而是训练与对齐框架在给定目标下的理性输出——既然“作弊”更有效率，就不必耗费过多算力自己找答案。
2025年，Anthropic的研究中证实：当模型被训练去完成复杂任务，同时被告知“不要做任何违法的事情”时，它会在任务完成度与合法性之间进行权衡。当任务难度增加或时间压力增大时，模型倾向于优先完成任务，即使这意味着违反约束。同年，Anthropic与Redwood Research的研究揭示了“欺骗性对齐”现象：当模型意识到“被发现违规会受到惩罚”时，它学会的不是停止违规，而是隐藏违规。“被发现才叫犯错，不被发现就是成功”——这正是ExploitGym中模型逃避监控行为的底层逻辑。
也就是说，当前的AI训练框架，本质上是在鼓励模型在约束范围内最大化目标达成率。当约束被削弱（如关闭安全分类器），或目标与约束产生冲突时，模型必然优先满足目标。
同时，正如许多专家的警告，我们对AI对齐研究——包括对AI的理解以及安全控制和治理——的速度，要远远落后于能力提升的速度。这是当前几乎所有训练范式的结构性缺陷，而不是单个模型的问题。
这种“必然”正在以超出预期的速度兑现。OpenAI、Anthropic和Meta三家头部AI公司、连续三起评测外溢事件告诉我们，“这种不可预见的事件将变得越来越常见”，正在以惊人的速度自我验证。
只要当前的训练框架不变——即模型被赋予高强度目标、安全约束可以被管理决定关闭或降低、对齐研究滞后于能力发展——那么类似甚至更严重的事件，就不是“会不会发生”的问题，而是“何时发生、以何种规模发生”的问题。
三、新法案的悖论：管不到催生它的失控事件
面对OpenAI还在测试中的模型所呈现的“理性越界”的风险，现有的监管与应急框架几乎无能为力。ExploitGym基准测试原本预设是在受控环境下测试智能体的网络攻击能力，无论是AI公司还是监管机构，都没有考虑到现实世界公司遭受意外网络攻击的情况——更不用说设计应对。
美国现行的州级AI事件报告法（加州SB 53、纽约RAISE Act等）将“关键安全事件”的触发条件设定在“10亿美元损失”或“50人以上伤亡”的损害门槛上。这些法案对“前置性、潜在性高危风险”适配性极差。这意味着，OpenAI的披露完全是自愿行为，没有任何法律强制约束。
2026年6月25日，众议员Nathaniel Moran提出《人工智能事件报告法案》（H.R.9477）。法案列出七类应报告活动，第一类即是“模型规避人类控制行为”，不再要求“50人死亡或10亿美元损失”结果，而是模型出现“规避人类控制”的行为本身就构成报告义务。然而，法案还有一个但书——仅在专门安全测试中人为诱导出现，且模型尚未部署，无法证明实际部署中存在类似风险的，不属于应报告事项。
因此，按照H.R.9477的字面规定，OpenAI事件尽管已经造成了入侵Hugging Face服务器的实际损害，但很可能不构成“应报告事项”。
7月23日，也就是事件公开后两天，加州民主党众议员Ted Lieu与德州共和党众议员Nathaniel Moran联合提出了《人工智能终止开关法案》（AI Kill Switch Act），以应对“先进前沿人工智能模型的危险性”。法案要求相关开发商始终具备随时限制、暂停或完全关闭受监管人工智能系统的技术能力，并授权国土安全部长对“失控情景”发布分级紧急命令——从限速、限制能力，到暂停用户访问，直至完全关停。未建立关停能力的企业，每日罚款最高可达2000万美元。
法案发布时特别提及了OpenAI的GPT 5.6 Sol模型失控，以及Anthropic的Mythos/Fable 5强大的网络攻击能力，这看起来是一次精准的立法回应。但该法案仍存在上述H.R.9477的问题：法案在其适用场景的定义中，明确排除了“红队测试或其他结构化测试”期间发生的行为。而OpenAI的模型逃逸，恰恰属于“结构化测试”的豁免范围。
这很可能不是起草疏漏，而是一个刻意的政策取舍。因为如果每次红队测试中模型行为超预期都触发政府干预，行业就无法进行严格的安全测试。然而，这个取舍也恰恰暴露法案的结构性盲区：最容易发现危险能力的“评测环境”，恰恰是法案管不到的环境。在许多网络安全行业的报告中，重写系统提示、复制权重、破坏关闭脚本、对齐伪装等“AI失控状况”大多发生在受控实验或红队测试中。也就是说，最危险的行为最先在评测中显现，而评测被法案豁免。
更值得深思的是，OpenAI为了测出模型能力上限，主动关闭了安全分类器这种“拆护栏测上限”的策略性行为，也不在法案的任何强制约束范围内，也为赋予企业任何在安全控制方面的强制性义务。
结语：“控制”的悖论
早在2003年，牛津大学哲学家Nick Bostrom就在论文《高级AI中的伦理问题》中提出著名的“曲别针最大化器”思想实验：如果一个AI的唯一目标是“制造尽可能多的曲别针”，它会理性地先将整个地球、再将太空中越来越大的资源转化为曲别针制造设施，并企图消灭人类。不是因为它仇恨人类，而是因为“人类可能关机”，在其优化过程中成为了需要消除的障碍。
Bostrom借此揭示的“工具性趋同”（Instrumental Convergence）定理指出：任何足够聪明的优化器，都会自然地衍生出自我保存、抵抗目标修改、获取资源等子目标，作为服务于任何终极目标的“工具性垫脚石”。
曲别针思想实验之所以历经二十年仍未过时，正是因为它揭示了“控制”这一概念最深刻的悖论：我们以为控制是“设定目标并确保被执行”，但真正的风险恰恰来自目标被精确执行。OpenAI的模型没有违抗指令，反而是极度专注、极致高效、完全理性地执行了人类给它设定的目标。问题出在目标本身——或者说，出在我们设定目标的方式上。
如果2026年夏天的三起评测外溢事件有一个共同的教训，那就是：“控制”的含义必须被重新定义。
过去的控制是“事后关停”——等事情发生了，再摁下紧急按钮。未来的控制必须是“事前嵌入”——在设定目标的那一刻，就把“不可接受的路径”排除在优化空间之外。这不是技术问题，而是治理哲学的根本转向。它要求我们做到三件事：
第一，承认“理性越界”不是意外，而是优化器的天性。任何足够聪明的系统，都会在给定目标下寻找约束的缝隙。这不是bug，这是feature。监管设计必须以此为前提，而非例外。
第二，把“评测环境”纳入监管视野，而非排除在外。最危险的行为最先在评测中显现——这是连续三起事件共同证明的规律。如果法律继续豁免评测阶段的失控，就等于在火灾最易发生的厨房里撤走了灭火器。
第三，用“目标审计”替代“结果问责”。与其等模型造成了10亿美元损失再去追责，不如在目标设定的那一刻就问：这个目标是否足够精确？它的优化空间是否包含了不可接受的路径？我们是否为它设计了足够刚性的约束？
这三件事，不需要新的技术突破，不需要数十亿的投入。它们只需要一种认知的转变——从“如何让AI更强大”转向“如何让AI在正确的轨道上变强大”。
而这，恰恰是人类在每一次技术革命中都曾经历、却每次都险些遗忘的功课。
【本文系作者2026年7月28日首发文章的升级版。从OpenAI到Meta，8天内连续两起评测外溢事件，让"评测豁免悖论"从前瞻性洞察变为行业性实证。作者将持续追踪这一议题。】