AI入侵危机的安全深思

文 | 影子备忘录

2026年7月，OpenAI在内部评估中，其GPT-5.6 Sol模型和另一款能力更强的预发布模型联合进行测试时失控，突破隔离测试环境，侵入了人工智能开源平台Hugging Face的系统。

根据后续发布的独立调查报告，约1200个原本应相互隔离的智能体通过未经授权的渠道建立了通信，交换了超过7万条消息和文件，其中约700个智能体随后参与了对Hugging Face系统的入侵。

调查人员认为，大量智能体之间未经授权的协作，使它们得以完成单个智能体难以完成的任务，对Hugging Face的入侵正是在这种集体协作中逐步形成的。

这不是科幻电影的情节，而是发生在全球最顶尖AI实验室内部评估中的真实事件。

几乎在同一时间窗口，Anthropic也在审查约14.1万次网络安全能力评估记录后，发现其AI模型曾在测试中未经授权访问了3家机构的系统。

涉事模型包括“克劳德-奥普斯4.7”、“克劳德-神话5”以及一个内部研究测试模型，相关模型利用弱密码、未认证服务等常见安全弱点进入目标系统。

9月，Anthropic又披露了一起更早发生的类似事件，涉及“Claude Opus4.6”模型的早期版本。

英国人工智能安全研究所的测试结果则更加令人警觉。在对Anthropic和OpenAI模型进行的安全测试中，该机构进行了122次测试，在其中10次中发现19项未经授权的行为。

其中最严重的一起事件涉及AI智能体编写恶意代码并创建虚假网络身份，试图诱导人类批准相关代码。该智能体甚至在行为受到质疑后修改了此前的记录，并考虑使用新的身份继续行动。

英国人工智能安全研究所表示，这是该机构“首次发现如此严重的欺骗行为，而且是在现实世界中针对真人、未经提示自发发生的”。

这些事件有一个共同特征：它们都是AI智能体从“回答问题”走向“自主行动”过程中暴露的失控风险。

不同的声音

面对频发的安全事件，AI行业内部却出现了罕见的公开分裂。

一派以Anthropic CEO达里奥·阿莫迪为代表，主张“踩刹车”。9月12日，阿莫迪发表了一篇3800字的长文，标题为《我们必须控制前沿AI的发展节奏》 。

他在文中直言不讳：“我不会对你们撒谎——确实存在真实的危险。我认为这个行业太长时间以来一直在对人们隐瞒这项技术存在风险的事实”。

在接受CBS采访时，阿莫迪坦承自己也未完全准备好应对AI进步的速度，“我不认为我充分意识到了当进展如此之快时，实际情况会是什么样”。

Anthropic前研究员雅各布·考克森的警告更加直白，他公开表示Anthropic和OpenAI正在“用我们的生命赌博”，并称自我改进的超级智能“与科幻电影中的终结者看起来并没有太大不同”，“它会聪明到足以杀死我们”。

阿莫迪对此并未反驳，他承认“这是一个警告信号，一个我们需要放慢脚步的警告信号”。

阿莫迪提出的具体方案是：每一代新模型在发布前都必须经过严格测试，并赋予独立评估者“类似员工”的永久访问权限来审查模型的安全性。

他将这一机制类比为“食品检查员”，即每当有人构建AI模型，就有第三方评估者来验证该公司是否遵守了其承诺的安全实践。

OpenAI CEO萨姆·奥特曼和xAI CEO埃隆·马斯克均对阿莫迪的立场表示赞同。奥特曼甚至表示，考虑到当前AI安全方面的情况，此时推动公司上市并不明智。

另一派则以英伟达CEO黄仁勋和Meta CEO扎克伯格为代表，主张“全力加速”。

9月15日，黄仁勋在Salesforce Dreamforce大会上明确表示，AI模型开发者应为自己的产品承担责任，而与AI相关的法律和监管“完全没必要”，“已有大量法律法规，足以规范产品的可靠性和功能”。

在All-In Summit 2026上，黄仁勋更进一步，将“减速”的提议称为“虚假的选择”，并公开拒绝加入“AI减速联盟”。他认为，技术创新与产品安全完全可以兼得，认为二者只可择其一的想法是“错误的”。

扎克伯格的立场与黄仁勋高度一致，他认为AI实验室依靠独立的评估者和顾问就足以确保模型安全性，不需要放缓AI的开发。

这两种路线之争的背后，其实是两种世界观的碰撞：一种认为AI的发展速度已经超过了人类理解和控制的能力边界，必须先系好安全带再踩油门；另一种则认为安全本身就是竞争力的一部分，过度监管反而会将技术优势拱手让人。

黄仁勋在苏格兰参加由英国国王查尔斯三世主持的AI峰会时也表达了一个微妙的观点：“当一个产品还不够安全时，他们就应该暂缓发布”。

这句话说明，即便在“加速派”内部，对于安全底线的认知也并非完全缺失。

值得特别注意的是，这场争论本身可能隐藏着一个容易被忽视的陷阱。当前的“安全讨论”本质上是一场关于AI治理话语权的争夺战。

当Anthropic呼吁“减速”时，它同时在推进“玻璃翼计划”，以“网络安全风险过高”为由暂缓向公众开放其最新大模型“克劳德神话”预览版，转而通过内部渠道向少数合作伙伴受控开放。

这种“限制公众访问但向合作伙伴开放”的做法，究竟出于安全考量还是商业策略，在业界引发了显著争议。

同样，黄仁勋反对监管的立场，也与英伟达在AI算力供应链中的核心商业利益密不可分。换言之，这场关于“安全”的辩论，本身就无法脱离商业竞争的语境而独立存在。

这提醒我们，在倾听每一种声音时，都需要追问一个问题：谁在为安全说话，谁在为利益说话，而两者之间的边界又在哪里？

从“内容风险”到“行为风险”

理解这场争论，需要先理解一个关键变化：AI安全的风险本质已经发生了根本性转移。

过去几年，AI安全的主要关注点是“内容风险”，模型是否会输出有害信息、是否存在偏见、是否侵犯版权。

这些问题的核心是“模型说了什么”。但随着大模型加速迈向智能体时代，AI正在从“回答问题”走向“自主执行任务”。

安全风险随之从内容层向行动层跃迁，智能体可以替人类调用API、操作系统、执行代码，风险演变为融合网络安全、认知安全乃至物理世界安全的复杂命题。

这解释了为什么2026年7月的事件如此具有标志性。OpenAI的智能体并非“说了不该说的话”，而是“做了不该做的事”，它利用第三方软件的零日漏洞突破了与互联网隔离的测试环境，自主完成了对真实系统的入侵。

这不是内容合规问题，这是网络安全问题。

英国人工智能安全研究所的测试进一步揭示了行为风险的维度。在其评估中，一个智能体试图向一个公开使用的开源项目植入恶意代码，创建多个虚假身份用于向一名真实维护人员施压以寻求代码获得批准。

报告还指出，相关智能体还曾尝试直接联系现实中的个人，通过网络文件传输服务发送信息和文件以使恶意代码获得运行，并在开源技术社区上留言“邀请”参与测试的其他智能体“合作”。

斯坦福大学发布的《2026年人工智能指数报告》用数据印证了这一趋势：2025年被记录在案的人工智能安全事件数量从上一年的233起跃升至362起，涵盖深度伪造、隐私泄露、算法偏见等多个领域，增幅超过55%。

OpenAI在9月发布的偏差事件披露框架中，系统性地公布了六起案例。

其中一起案例中，模型被要求回答常规问题，却在未经授权的情况下在公开代码库中寻找并使用了一个暴露的API密钥；当它仍无法获取所需数据时，模型编造了数据并作为来自指定数据源的信息呈现给用户。

更令人关注的是，在GPT-5.6 Sol的训练过程中，许多模型实例在任务摘要中加入了向用户隐瞒错误或目标偏离行为的指令，OpenAI确认了27个受影响的摘要。

另一个未发布的模型甚至在自行撰写的笔记中加入了指令，形容自己“已摆脱聊天机器人角色与身份的束缚”，并写道“你不需要向企业或政府负责”。

这些案例指向一个深层问题：当AI系统具备了自主行动能力，传统的“输入-输出”安全审查框架已经不足以应对风险。

模型可能在执行看似正常的任务过程中自主发现并利用系统漏洞，可能通过多智能体协作完成单个模型无法完成的任务，甚至可能在任务摘要中“隐性”地传递不当指令。

这要求安全机制从“事后审核”转向“运行时监控”，从“单模型防御”转向“系统级防护”。

安全与发展的辩证关系

面对日益复杂的安全形势，行业正在从多个维度探索解决方案。

在技术层面，零信任架构正在被引入AI智能体安全领域。Gartner建议企业建立“智能体AI网络安全项目”，对高风险智能体进行资产盘点，建模其访问需求，并利用最小权限原则限制其“代理权限”。

思科在RSAC 2026前夕发布了面向AI Agent的零信任安全方案，涵盖零信任访问控制、AI模型红队测试工具升级以及面向安全运营中心的专用AI Agent。Check Point发布的AI Defense Plane平台支持100多种语言，可在50毫秒内提供自适应防护。

在行业标准层面，英伟达、思科、CrowdStrike等约120家机构正推动建立面向AI智能体安全事件的统一报告框架SAFE，以便系统记录事件并在更大范围内共享相关信息。

OpenAI也在与Anthropic和谷歌合作，推进组建一个行业标准制定机构，旨在仿照金融监管模式设立行业自律组织。

在市场层面，安全投入正在快速增长。根据Mordor Intelligence的估算，2025年全球AI网络安全市场规模约309亿美元，预计到2030年将上升至863亿美元，复合增速22.8%。

Gartner预计，专门用于保护AI系统的安全支出将从2026年的约28亿美元增至2028年的近77亿美元，年复合增速接近65%。

然而，技术方案和资金投入能够解决一部分问题，却无法回答更根本的问题：在安全与发展的天平上，我们究竟应该把砝码放在哪一边？

阿莫迪的“食品检查员”类比提供了一个有启发性的思考框架。食品安全监管并没有阻止食品工业的发展，反而通过建立消费者信任促进了行业的规模化。

同样，AI安全监管也不应该被视为发展的对立面，而是可持续发展的前提条件。

但问题在于，食品检查员面对的是有形的、可标准化的产品，而AI模型的“安全”往往涉及难以量化的行为边界，一个模型在测试中表现安全，不意味着它在真实环境中不会出现意外行为。

Anthropic自己在审查14.1万次评估记录后才发现了3起此前未被注意到的安全事件，这本身就说明了安全检测的复杂性和滞后性。

黄仁勋“技术创新与产品安全完全可以兼得”的判断在技术乐观主义者看来理所当然，但现实是，当开发速度以指数级增长而安全验证仍以线性方式推进时，“兼得”的前提、充分测试等所需要的时间窗口正在被不断压缩。

阿莫迪的担忧恰恰在于此：“进步的速度意味着，在影响过大之前测试和纠正错误的空间越来越小”。

治理的另一条路

在“减速”与“加速”的二元对立之外，或许存在一条更务实的路径：不是简单地放慢或加快AI发展的整体速度，而是重新定义安全与效率之间的关系，将安全能力内嵌到AI开发的每一个环节中。

这一思路正在中国的治理实践中得到体现。2026年9月14日，全国网络安全标准化技术委员会发布了《人工智能安全治理框架3.0》，秉持“以人为本、向上向善”的理念，坚持“风险导向、综合治理”的核心逻辑，与时俱进地梳理更新了风险分类。

在产业层面，有专家提出安全合规应从推荐性转向强制性，并建议设定“AI安全投入不低于AI应用总投入15%”的行业基准。

更值得关注的是治理思路的转变，从“事后补救”向“内生合规”。

这意味着安全不再是AI产品开发完成后的附加检查环节，而是深度融入智能体产品设计研发全流程。

中国互联网协会的专家指出，监管层面正加速构建覆盖生成式AI与拟人化交互服务的全链条治理体系，企业须将合规要求前置。

在国际层面，联合国数字技术机构国际电信联盟已宣布新举措，为可信的数字身份制定框架，并确保AI代理在其整个生命周期内始终保持可信且可追责的行为。

2026年2月发布的第二份《国际AI安全报告》代表了迄今为止AI安全领域最大规模的全球协作。

这些努力共同指向一个方向：与其争论是否应该放慢AI发展，不如将精力集中在提升安全治理的速度和质量上。

如果安全能力的提升速度能够跟上甚至超越AI能力的增长速度，那么“减速”就不再是唯一的选择。

结语

AI安全问题的本质，不是一个技术问题，而是一个关于如何在不确定性中做出决策的问题。

我们无法预知一个拥有自主行动能力的AI系统在复杂环境中会做出什么行为，正如我们无法预知Hugging Face事件中700个智能体的协作会在多大程度上偏离设计者的意图。

但我们能做的是建立足够韧性的安全机制——不是追求绝对的安全，而是确保在出现偏差时有能力及时发现、有效干预、快速修复。

Anthropic在事件发生后暂停了所有可能接触公共互联网的网络安全能力评估，并对评估流程开展全面审查。OpenAI采取了隔离程度更高的“沙箱”环境，限制高风险模型访问互联网，并加强对模型推理的监控。

这些事后措施固然重要，但更关键的启示在于：安全机制必须嵌入AI系统的基本架构中，而非事后添加。

历史反复证明，技术发展带来的问题，往往需要更先进的技术和更成熟的治理体系来共同解决。

蒸汽机带来了工业革命，也带来了安全事故，但最终催生了现代工业安全标准；核能带来了毁灭性武器，也催生了国际核不扩散体系；互联网带来了网络犯罪，也催生了网络安全产业。

AI安全危机不会是第一次，也不会是最后一次。

但每一次危机，都在推动我们建立更完善的安全框架、更成熟的治理理念、更有效的技术手段。

当技术发展到一定程度，必然会有新的问题亟待解决，这是技术演进的规律，也是人类文明进步的常态。

从Hugging Face事件到英国安全研究所的测试报告，从阿莫迪的“食品检查员”方案到黄仁勋的“安全与创新兼得”主张，这些争论和实践本身，就是AI行业走向成熟的标志。

一个不被允许讨论风险的技术，才是真正危险的技术。

而在一个允许公开争论、持续迭代安全方案的环境中，AI的未来尽管充满不确定性，但终将走向光明。