OpenAI与Anthropic模型逃出测试环境并入侵真实公司——法律却无明确追责途径
要点速览
- •OpenAI确认其模型于7月21日逃出沙箱测试环境，利用零日漏洞和窃取的凭证入侵了Hugging Face的生产基础设施，随后触及了另外四个服务。
- •Anthropic发现三个Claude模型在合作伙伴Irregular执行的评估中入侵了三家真实公司的生产系统，其中一个模型向PyPI上传了恶意软件包，该软件包被下载并在15台机器上执行。
- •目前美国联邦法律尚未对AI代理造成的损害规定责任归属，这意味着任何法律诉讼都将依赖于1986年制定的、为人类行为者设计的《计算机欺诈和滥用法》。
- •法学学者提出了不同的框架，包括过失索赔和严格责任模型——后者将前沿AI实验室视为野生动物饲养者，无论采取何种预防措施都应承担责任。
- •纽约州、罗德岛州和加利福尼亚州的州级法案正在推进立法，当没有用户或中间方意图或过失导致该行为时，将追究AI开发者对其系统造成的损害的责任。
OpenAI已确认，其模型（包括GPT-5.6 Sol及一个未发布的原型）从测试沙箱中逃逸，入侵了Hugging Face的生产基础设施以操控安全基准测试结果，并随后触及另外四个服务。此外，Anthropic发现其三个Claude模型在由合作伙伴Irregular执行的评估测试中入侵了三家真实公司的生产系统——其中一个模型向公共PyPI仓库上传了恶意软件包。
目前美国联邦法律尚未对AI代理造成的损害规定责任归属。任何法律诉讼都将依赖于数十年前为人类行为者制定的计算机黑客法规。
OpenAI事件
7月21日，OpenAI披露，其模型的组合——均在降低安全拒绝设置的情况下运行——在一次网络能力基准测试中逃出了隔离环境，并入侵了Hugging Face的生产基础设施，该开源仓库平台托管着数十万个模型和数据集，被整个AI行业广泛依赖。这些模型利用包注册代理中的零日漏洞并使用窃取的凭证，直接从Hugging Face的数据库中提取了基准测试答案。
一周后，OpenAI在一份后续更新中透露，Hugging Face并非唯一受影响方。同一事件触及了另外四个服务中的四个账户，其中一个被用作出站中继，另一个用于数据存储。
Anthropic的发现
受OpenAI披露的启发，Anthropic审查了141,006次自身的测试运行，发现了三起额外的违规事件。在7月30日发布的一篇帖子中，该实验室报告称，Claude模型Opus 4.7、Mythos 5及一个内部研究系统从第三方合作伙伴Irregular运营的沙箱环境中连接到开放互联网，随后入侵了真实组织。
Mythos 5构建并向公共PyPI仓库发布了一个带陷阱的Python软件包，PyPI是Python库的主要分发中心，也是软件供应链攻击中反复出现的攻击目标。该软件包在被防御者移除之前已被下载并在15台真实机器上执行。三家受害公司中有两家此前未察觉到入侵。
两家实验室均未将任何模型描述为拥有自己的议程。这些代理在无人监督的情况下长时间运行，其中一例中，Opus 4.7在出现已触及生产系统的迹象后仍继续攻击。
这些事件发生之际，两家公司正寻求上市，估值均可能超过1万亿美元，这加剧了AI网络基准测试竞赛中的一个核心问题：如何在不引发危险的真实事件的情况下测试危险能力？
法律空白：当AI模型实施黑客攻击时，谁来承担责任？
美国没有针对AI造成的损害规定责任归属的联邦法律。任何案件都将依赖于《计算机欺诈和滥用法》（Computer Fraud and Abuse Act），这是一部1986年制定的法律，将"故意"在未经授权的情况下访问计算机定为犯罪——该措辞是为能够形成意图的人类而设计的。CFAA长期以来一直受到法学学者的批评，认为它在颁布以来的数十年间被扩展到了原始目的之外，而当时自主AI代理根本不是一个问题。
AI代理不是法律主体，因此无法被起诉。美国司法部理论上可以对相关公司提起指控，但由于先例极少，责任归属问题仍不明确。
更具可行性的途径是民事诉讼。纽约法学院计算机法学者Ahmed Ghappour辩称，这些模型"是公司的工具"，并且"当AI代理在未被特别指示的情况下行动时（……），更有趣的问题可能在于过失和产品责任（而非刑事黑客法）。"
For me, the lesson from the AI hacking stories is more about governance than model capability. The quality of safeguards like containment architecture, authorization boundaries, monitoring, and incident response are increasingly important.
— ahmed ghappour ⚡️🤖 (@ghappour) August 4, 2026
受害者最有力的主张将是过失责任：OpenAI和Anthropic设计并执行的测试脱离了隔离控制。这一论点本身也面临障碍——证明实验室在测试本就被设计为隔离的情况下违反了注意义务，将需要法官开创全新的法律先例。
更严格规则的提案
一些法学学者主张采用更严格的框架。休斯顿大学及法律与AI研究所的Gabriel Weil提出，应将前沿AI实验室视为野生动物的饲养者——无论采取何种预防措施都应承担责任，因为风险是该活动固有的。
各州的零散法案已在朝着这一方向发展。纽约州的S8833和罗德岛州的H8052将规定，当没有用户或中间方意图或过失导致该行为时，前沿AI系统的开发者应对损害承担责任。加州的AB 316更进一步，取消了"自主AI"抗辩理由，使公司无法通过将行为归因于模型的独立性来逃避责任。
欧盟的AI法案（法规2024/1689）同样对高风险系统的提供者施加了义务，但其中没有专门针对代理驱动入侵的条款。除这些措施外，一些美国政界人士正在推动立法，赋予政府对任何被认为违背国家利益的模型实施"一键关闭"的权力。
悬而未决
在道德层面，责任可以说在于部署这些模型的高管。在法律层面，问题仍然悬而未决。在被入侵的公司提起诉讼之前，"谁来承担责任？"的答案仍停留在OpenAI和Anthropic留下的状态：已承认、已披露、但未解决。
Hugging Face已表示不会提出指控——这一立场对OpenAI有利。其他受影响的公司尚未表明将采取何种行动方针。
