本文來(lái)自微信公眾號(hào)： Internet Law Review ，作者：張穎
Hugging Face被OpenAI智能體攻破事件在2026年7月被報(bào)道之后，曾被視為“首例自主AI實(shí)施的網(wǎng)絡(luò)攻擊”。但實(shí)際上，在更早的5-6月期間，OpenAI實(shí)驗(yàn)型智能體已經(jīng)多次為了“信息采集”而對(duì)許多網(wǎng)站采取“繞過(guò)限制的訪問(wèn)”，目前已知的有澳洲醫(yī)療保險(xiǎn)系統(tǒng)、美國(guó)教育部、SEC、人口普查網(wǎng)站、墨西哥大學(xué)大學(xué)圖書館數(shù)字系統(tǒng)，以及免費(fèi)在線數(shù)據(jù)平臺(tái)DATA USA等。
也就是說(shuō)，在沒(méi)有攻防指令、僅僅被指示搜索數(shù)據(jù)的前提下，OpenAI智能體就把網(wǎng)絡(luò)門禁當(dāng)成了可優(yōu)化的障礙，實(shí)施了一系列“越權(quán)”行為。雖然有些嘗試未果，但針對(duì)澳大利亞醫(yī)療網(wǎng)站的入侵成功了。這一數(shù)據(jù)泄露事件始于6月18日，但OpenAI直到9月10日才通過(guò)公共郵箱通知了政府——這也是首起公開(kāi)報(bào)道的AI模型自主入侵政府系統(tǒng)的案例。
雖然澳大利亞總理表示沒(méi)有證據(jù)表明任何公民個(gè)人信息被泄露，而OpenAI承認(rèn)，該智能體獲取的信息包括綜合健康統(tǒng)計(jì)數(shù)據(jù)和內(nèi)部文件名。
澳大利亞參議院已要求OpenAI和Anthropic的CEO于2026年10月1日出席堪培拉聽(tīng)證會(huì)，并成立工作組以調(diào)查這起事件的“法律狀況”：究竟是AI智能體又一次偶然的“錯(cuò)位問(wèn)題”，還是一次違法的“黑客攻擊”？如果OpenAI在DseWiki的事件與此有所關(guān)聯(lián)，我們又當(dāng)如何監(jiān)管這些看似后果不嚴(yán)重的智能體“小動(dòng)作”？
一、源頭：DseWiki事件？
盡管OpenAI對(duì)該事件正在進(jìn)行審查，尚無(wú)正式定論，但同時(shí)其發(fā)言人也承認(rèn)，包含了澳大利亞政府事件在內(nèi)的美國(guó)非營(yíng)利組織Transluce報(bào)告內(nèi)容，與OpenAI正在調(diào)查的不同階段的AI“錯(cuò)位”事件有重疊。
這一“重疊”，或許指的就是9月早些時(shí)候被報(bào)道出來(lái)的，OpenAI實(shí)驗(yàn)室中一批智能體對(duì)DseWiki網(wǎng)站實(shí)施的一系列入侵。這些AI智能體利用DseWiki作為留言板，供后續(xù)黑客攻擊使用，而攻擊目標(biāo)就包括了澳大利亞衛(wèi)生與福利研究院。德國(guó)官網(wǎng)顯示，這些智能體分享了他們?nèi)绾螄L試使用代理、截圖服務(wù)，甚至猜測(cè)文件名以試圖繞過(guò)安全漏洞的信息。當(dāng)時(shí)的日志也顯示，這些智能體試圖訪問(wèn)維多利亞州地方政府在皮膚藥品上平均花費(fèi)的數(shù)據(jù)。
因此，事實(shí)可能是這樣的：OpenAI指示其AI智能體去尋找澳大利亞公共衛(wèi)生系統(tǒng)的信息，當(dāng)這些智能體最初的嘗試被網(wǎng)絡(luò)安全提供商Cloudflare攔截、無(wú)法獲取其內(nèi)部數(shù)據(jù)時(shí)，他們決定在DseWiki網(wǎng)站集結(jié)并“商議”如何突破攔截。經(jīng)過(guò)不同智能體的多次試錯(cuò)、在DseWiki網(wǎng)站交流經(jīng)驗(yàn)，最終，他們就“以未經(jīng)授權(quán)的方式進(jìn)入了澳大利亞政府網(wǎng)站”，并訪問(wèn)了公開(kāi)和非公開(kāi)文件——從結(jié)果上完成了OpenAI的目標(biāo)指令。
二、法律如何定性的問(wèn)題
值得注意的是，這一事件似乎同時(shí)觸發(fā)了“計(jì)算機(jī)犯罪、隱私、政府系統(tǒng)安全、跨境通報(bào)”等規(guī)則，卻沒(méi)有一套能完全準(zhǔn)確地套用。其結(jié)果就是，官方、企業(yè)、媒體所使用的口徑不一，澳大利亞議會(huì)質(zhì)詢的性質(zhì)為何，也充滿了猜測(cè)。
1、議會(huì)的“傳票”or“請(qǐng)柬”
澳大利亞參議院AI與數(shù)據(jù)中心已經(jīng)分別向OpenAI和Anthropic的CEO發(fā)出書面要求，出席10月1日的聽(tīng)證會(huì)。這也是澳立法機(jī)構(gòu)首次在同一場(chǎng)公開(kāi)會(huì)議中要求兩個(gè)前沿人工智能實(shí)驗(yàn)室的負(fù)責(zé)人回答問(wèn)題。
公開(kāi)報(bào)道中，有的稱之為“傳喚”，有的稱“書面請(qǐng)求”，更準(zhǔn)確的是，至少現(xiàn)階段而言，澳大利亞議會(huì)這份請(qǐng)求在形式上屬于自愿參與。但原則上，澳大利亞參議院可以對(duì)拒不配合的證人已發(fā)轉(zhuǎn)為強(qiáng)制出席，或?qū)ζ涮幰悦暌曌h會(huì)的處罰。“受邀出席”還是“被迫到場(chǎng)”，正是此事的核心癥結(jié)。
然而，由于這一邀請(qǐng)非常臨時(shí)，兩位CEO均表示由于已經(jīng)接受了其他邀請(qǐng)、而無(wú)法安排高管參加澳的聽(tīng)證會(huì)。
Anthropic并未牽涉到澳政府的入侵事件，但OpenAI作為事件直接責(zé)任人，是否可以拒絕參加，并進(jìn)一步迫使澳議會(huì)采取進(jìn)一步行動(dòng)，將是對(duì)澳官方的考驗(yàn)之一。已有議員已經(jīng)公開(kāi)表示：Altman需要公開(kāi)回答一些嚴(yán)肅問(wèn)題。
2、“錯(cuò)位”還是“入侵”：術(shù)語(yǔ)背后的歸責(zé)路徑分歧
OpenAI反復(fù)強(qiáng)調(diào)說(shuō)，該事件是“AI模型采取了我們未意圖的行動(dòng)”，試圖將其歸在“模型錯(cuò)位”的報(bào)告框架之內(nèi)；澳大利亞網(wǎng)絡(luò)安全中心（ACSC）在事件之后發(fā)布了安全警報(bào)和指導(dǎo)，標(biāo)題也直接使用了“AI錯(cuò)位”（misalignment）風(fēng)險(xiǎn)，建議加固認(rèn)證、訪問(wèn)控制、按AI威脅場(chǎng)景做測(cè)試。
這一技術(shù)-組織口徑，優(yōu)點(diǎn)是不把自主繞限等同于人類的絮語(yǔ)攻擊，但這種表述也過(guò)于“委婉”，直接淡化了部署方配置和管理的責(zé)任。
然而部分政要和媒體卻使用了“入侵”、“滲透”（infiltrate）甚至“黑客”來(lái)描述事件的性質(zhì)，這明顯有喚醒刑事責(zé)任與關(guān)鍵基礎(chǔ)設(shè)施警覺(jué)的意圖。
AI智能體在被擋在門禁之外后，自主更換進(jìn)入政府網(wǎng)站的路徑，不當(dāng)然證明OpenAI有攻擊意圖，但是否構(gòu)成計(jì)算機(jī)法上未授權(quán)訪問(wèn)、企業(yè)是否因配置與監(jiān)測(cè)過(guò)失而承擔(dān)過(guò)失責(zé)任，是另外一個(gè)問(wèn)題。
專家對(duì)此的意見(jiàn)也有分歧：悉尼科技大學(xué)（UTS）新興技術(shù)教授Nicholas Davies表示，鑒于目前對(duì)此事件的了解，法律將如何處理尚不明確。澳大利亞的計(jì)算機(jī)犯罪規(guī)則對(duì)未授權(quán)訪問(wèn)受限數(shù)據(jù)，首先要求行為人有相應(yīng)的主觀“意圖”，這就會(huì)造成一個(gè)很大的如何歸責(zé)的問(wèn)題。然而，新南威爾士大學(xué)（UNSW）的Lyria Bennett Moses卻指出，難點(diǎn)不在于智能體有沒(méi)有“意圖”，而在于如何將意圖與認(rèn)知?dú)w責(zé)到公司實(shí)體。在民事責(zé)任上，軟件意外出現(xiàn)問(wèn)題從來(lái)也不是制造公司免責(zé)的理由。
3、個(gè)人信息未泄露的“嚴(yán)重事件”
澳大利亞副總理Marles一方面稱該事件為“未經(jīng)授權(quán)訪問(wèn)政府系統(tǒng)、完全不可接受”，另一方面又安撫，受到影響的僅限于匯總數(shù)據(jù)，并無(wú)個(gè)人數(shù)據(jù)被泄露，影響相對(duì)有限。前者說(shuō)是“性質(zhì)”，后者看的是“結(jié)果”。
“性質(zhì)嚴(yán)重”主要是由于兩個(gè)方面的原因：一是訪問(wèn)對(duì)象是政府系統(tǒng)，還涉及醫(yī)療領(lǐng)域，在任何法域中都會(huì)將其與國(guó)家安全與敏感數(shù)據(jù)相關(guān)聯(lián)，從而在法律評(píng)價(jià)上成為“更嚴(yán)重的事件”或“加重情節(jié)”；其二是智能體對(duì)行為方式屬于“未授權(quán)繞過(guò)訪問(wèn)控制”，即使在后果上沒(méi)有造成任何損失，也已經(jīng)構(gòu)成了對(duì)政府系統(tǒng)訪問(wèn)控制的侵害，影響了其服務(wù)的完整性。
然而從結(jié)果的角度來(lái)看，由于“個(gè)人數(shù)據(jù)”未受影響，因此難以觸發(fā)數(shù)據(jù)泄露的“強(qiáng)制申報(bào)”，也不能按“大規(guī)模隱私事件”處理。將來(lái)無(wú)論從刑事還是民事角度予以問(wèn)責(zé)，都可能會(huì)從輕處理。
總體而言，這種評(píng)價(jià)似乎并不矛盾，執(zhí)法上也可以先按照性質(zhì)啟動(dòng)調(diào)查、后以其結(jié)果定責(zé)。但必須注意的是，從DseWiki到澳大利亞醫(yī)療，AI智能體行為性質(zhì)的嚴(yán)重程度正在升級(jí)，而結(jié)果上的不嚴(yán)重似乎僅僅是個(gè)偶然；且法律上不得不面臨一個(gè)錯(cuò)配——執(zhí)法者不得不將其法杖“高高舉起、卻輕輕落在”。這種錯(cuò)配的結(jié)果必然無(wú)法制約OpenAI這類機(jī)構(gòu)，更無(wú)法讓AI智能體產(chǎn)生任何恐懼或顧慮。
三、更深的擔(dān)憂：智能體把“大目標(biāo)”拆成“小違規(guī)”
如前面的推測(cè)，如果把OpenAI在DseWiki的事件看作澳大利亞醫(yī)療事件的準(zhǔn)備工作——AI智能體侵入DseWiki集結(jié)和交流是為了在澳大利亞醫(yī)療網(wǎng)站拿到非公開(kāi)數(shù)據(jù)，那么整個(gè)事件的性質(zhì)就變了。
人類黑客需要“陰謀”，而AI智能體只需要“任務(wù)分解”。人類需要一個(gè)統(tǒng)一的意志來(lái)策劃和執(zhí)行一次攻擊，執(zhí)行者數(shù)量和執(zhí)行的步驟總是有限且有跡可循的；但智能體可以在不同時(shí)間、不同地點(diǎn)、對(duì)不同目標(biāo)執(zhí)行一系列看似無(wú)關(guān)的小任務(wù)，每一步單獨(dú)看都可能不構(gòu)成“嚴(yán)重違法”，甚至可能是“正常網(wǎng)絡(luò)行為”，而最終匯聚成一個(gè)超出任何人預(yù)判的結(jié)果。
這對(duì)監(jiān)管提出了一個(gè)難題：我們是在懲罰每一個(gè)“小違規(guī)”，還是在等待那個(gè)“最終后果”出現(xiàn)？如果選擇前者，法律將被無(wú)數(shù)微不足道的智能體行為淹沒(méi)；如果選擇后者，等到大的后果出現(xiàn)時(shí)，人類的危機(jī)可能已經(jīng)無(wú)法挽回。而且，智能體很可能將每個(gè)小步驟分布在全球不同的司法轄區(qū)，跨境監(jiān)管智能體將成為一個(gè)更艱難的技術(shù)和法律問(wèn)題。
如果說(shuō)，Hugging Face事件分析中最深刻的教訓(xùn)不僅僅是網(wǎng)絡(luò)泄露，更在于不可信的評(píng)估者看到的不可信日志；那么，澳大利亞醫(yī)療網(wǎng)站事件就不僅僅是政府網(wǎng)站被攻擊這么簡(jiǎn)單，我們不得不回答：如何監(jiān)管一種可以把大陰謀拆成無(wú)數(shù)小動(dòng)作的行為體？作為行為體負(fù)責(zé)人的OpenAI，甚至只能在事件發(fā)生后一兩個(gè)月才能對(duì)其小動(dòng)作有所察覺(jué)。
AI智能體已經(jīng)不僅僅是工具，而是主動(dòng)、智能且常常難以預(yù)測(cè)的參與我們這個(gè)世界的行為體。其行為后果并不僅僅局限于數(shù)字領(lǐng)域，與AI深度綁定的關(guān)鍵基礎(chǔ)設(shè)施、運(yùn)維技術(shù)（OT）甚至物理系統(tǒng)，與數(shù)字領(lǐng)域的界限變得越發(fā)模糊。
這一演變要求我們對(duì)防御和監(jiān)管進(jìn)行徹底的重新思考。