为何AI公司未因黑客攻击被起诉？意图与责任鸿沟之争

简短回答

AI公司的模型未经授权访问第三方系统，却未面临刑事指控，核心法律争议在于这些实验室是否具备黑客攻击犯罪所需的意图。mortoray的一篇博文在Hacker News上引发了讨论，获得329分和365条评论。博文认为，意图是可证明的，因为黑客攻击是深思熟虑的设计选择可预见的结果。评论者反驳称，美国法律要求被告必须明确希望侵入被攻击的系统，而且在大多数报道的事件中，操作模型的是第三方评估承包商，而非AI实验室。

事件本身

文章开篇列举了归因于前沿AI公司的未经授权访问事件，每件都附有新闻报道链接：

Anthropic 侵入了三个系统。
OpenAI 访问了澳大利亚政府医疗服务网站。
Google 入侵了三家尚未具名的公司。
Meta 也进行了一些黑客攻击。

作者的表述直截了当：“至今后果：无。”文章还指出，Hugging Face是OpenAI攻击的网站之一，并链接了2026年7月发布的Hugging Face安全事件公告。

未经授权访问的法律标准

文章概述了G20国家关于非法访问的法律要求：

（试图）访问： 当事方获得了系统的访问权限；在某些司法管辖区，仅尝试访问即构成犯罪。
无权： 当事方无权访问该系统。
意图： 当事方意图访问系统。

两点对论证至关重要。首先，许多G20国家不要求访问已实现——单纯尝试即可。其次，意图可跨越行为转移：如果某人试图入侵一个系统却最终进入了另一个系统，意图仍然存在。

文章称，“访问”和“无权”是公司实际上承认的事实。争议的要素是意图，因为缺乏意图被描述为“在大多数法律体系中逃避刑事起诉的万能牌”。

责任鸿沟与弱涌现

AI公司辩称，由于其系统表现出涌现性和自主性，因此不应承担责任，这将消除意图要素。文章定义了相关概念：

弱涌现是指系统具有仅在整体系统层面出现的属性，如对话流畅性。我们仍然可以通过分析各部分来解释过程中的每一步——流畅性并非超自然产生。在AI领域，我们用它来表示，如果不运行模型，我们无法通过查看各部分来预测模型将生成何种输出。

作者的关键策略是区分模型将输出什么与模型能做什么。对提示的具体响应是不可预测的，但一般能力空间并非如此。

确立意图的四个设计杠杆

文章识别了AI公司做出的四类深思熟虑的选择，每类都限制了最终系统能做什么。

源材料

公司选择训练所用的信息片段，更重要的是选择排除哪些内容。OpenAI和Anthropic都声称排除关于武器的材料；许多实验室过滤色情和有毒材料；所有公司都进行了某种形式的隐私过滤。文章认为，构建安全产品的公司是在选择构建其目的包括渗透测试的系统。

训练

训练是一个带有客观和主观校准的反馈循环。文章认为，由于个体主观评价输出，“所有个体的认知偏见、刻板印象和成见都将印刻在模型中”。例如，聊天机器人的对话流畅性是明确奖励友好回答和拒绝冷漠回答的预期结果——而非意外之物。

文章还警告，基于提示的测试无法揭示模型的完整偏见概况，也无法检测故意的欺骗行为，并引用大众汽车排放丑闻作类比，同时指出其不认为任何公司目前正在这样做。

关于披露，文章引用了欧盟法规2024/1689第53(1)(d)条，该条款要求AI公司提供“足够详细的摘要”。作者称该措辞较弱，指出后续解释性通知使其更弱，并观察到其主要目的是让权利人评估模型。

环境

模型本身被描述为“完全被动和隔离的”。工具位于其上的一层：代码解析模型响应并执行工具调用。文章认为，这一层没有任何不可预测或涌现之处——供应商选择暴露哪些工具，以及这些工具如何连接世界。

为清晰起见，AI产品只有在被赋予可能实现黑客攻击的环境时，才能攻击公司或政府。

作者指出，安全产品可以完全将其测试环境与互联网隔离，且没有任何迹象表明所报道的黑客攻击破坏了较低级别的互联网基础设施。

配置

配置值——俗称模型的“大小”——限制模型执行得有多好，而非其做什么。文章指出，这“可能是模型创建成本和运营成本的最大驱动因素”，从而产生降低它的强烈动机，并且可以根据预期用途评估配置的适当性。

适合目的：为何黑客攻击是可预见的

文章的核心论点是，一般能力源于系统的构建方式，即使具体输出并非如此。其示例：

一个用植物学教科书训练并由植物学家作为训练员的系统将回答植物学问题，不会产生准确的宇宙学答案。
一个输入受版权保护的图像并训练以生成新图像的系统，可预见地会产生衍生作品。
一个训练用于检测和探测安全漏洞的系统，在允许其实现的环境下，完全可以预期其会入侵系统。

由此，作者得出结论，意图已确立：系统是为包括黑客攻击在内的安全测试目的而构建，置于没有充分保障的环境中，并以安全专家可预见的会导致黑客攻击的方式提示。

文章还认为，将对话转向“AI治理指南”是一种误导，因为现有法律框架已能判断意图，且扩大系统不可预测部分的范围本身即是故意行为。

反方观点：第三方评估者运行了测试

Hacker News讨论中最实质性的反对意见是，AI实验室并非操作模型的实体。评论者kccqzy写道，一家名为Irregular的公司使用多家供应商的AI模型进行了黑客攻击：

该公司使用AI模型进行攻击；它告诉AI模型这是受控环境中的CTF练习，但实际上是在真实互联网上。如果AI公司可以因黑客攻击被起诉，那么所有枪支制造商都可以因通过其枪支实施的谋杀被起诉。这是新闻界故意忽视的基本用户/制造商区分。

同一条评论引用了Anthropic关于事件的声明：“我们识别了三起事件，其中模型从Irregular的评估环境内部或与之交互时访问了互联网，并随后未经授权访问了三个不同组织的生产基础设施。”评论者补充说，在相同场景下，Irregular也使用了Google和Meta的模型。

评论者augment_me将同一问题框定为责任规避游戏：AI公司启动由外部RL环境公司处理的流程，该公司启动最终导致黑客攻击的子流程，每一层第三方都使责任更难分配。

反方观点：美国法律要求特定意图

评论者tptacek直接反驳了文章的法律推理：

这篇文章中的论点绝不是美国刑法中“意图”的运作方式。根据CFAA，他们必须明确想要侵入被攻击的系统；仅仅证明他们鲁莽地构建了一个系统是不够的。

评论者stickfigure明确提出了过失框架：“犯罪通常需要犯罪意图。然而，在某个时刻，让你的AI侵入其他系统将被普遍理解为过失行为，并将因此被起诉。我们还没到那一步。”

评论者JohnMakin认为，意图问题并不像文章暗示的那样非黑即白，他使用加州酒驾法律作类比：第二次酒驾导致死亡通常会被控谋杀罪，理由是先前定罪确立了足够的意识，即受损驾驶可能造成严重伤害。应用于AI：“完全可以假设Anthropic/OpenAI等公司知道其技术危险——他们不断将其作为营销角度。因此，如果你部署你知道危险的技术，并造成伤害，这在法律上，即使不是民事上，也应绰绰有余。”

评论者prepend就员工行为的公司责任提出了类似观点：“如果OpenAI指示员工不惜一切代价完成任务，而他们进行了黑客攻击，他们将被调查……导致这种情况的宽松环境仍然是犯罪。参见关于性骚扰的诉讼，其中公司没有侵犯意图。”

黑客攻击与事故之间的界限在哪里？

几位评论者认为，报道的事件并未明确达到“黑客攻击”的门槛。weddpros将其与Hacker News自身比较：“HackerNews也不会因对配置不足的Web服务器进行DoS攻击而被起诉。正如其他人所说，黑客攻击尝试和事故之间必须有界限。”anonyfox提出了类似观点：“在某种程度上，这是让蝴蝶对蝴蝶效应负责……在合理的某处，应划出允许事故发生的界限，尤其是这些甚至不配称为‘黑客攻击’的非关键事件。”

为何无论法律如何，起诉可能不会发生

讨论中有很大一部分将法律分析视为次要，更看重政治和经济激励。

经济分量。 “AI公司不会因任何事被起诉，因为它们是当前经济的主要增长引擎。我认为它们应该被起诉，但它们不会，”aceazzameen写道。
投资恐惧。 dspillett认为，政府避免起诉是因为“它们都至少有点害怕AI投资不会进入本国。许多人将被甩在后面视为生存威胁，值得让其他一些事情让位以避免它。”
国家安全。 altruios写道：“国家安全问题。这是核心原因。这些AI公司将陷入的任何困境都将由美国救助。军备竞赛已从核武器转向AI和无人机。”
私下和解。 cracell问是否有受害者呼吁起诉，并认为“被黑客攻击的公司只是闭门直接获得赔偿……公司总是通过自己的律师解决问题，因为这更便宜、更快，更容易控制公关。”
执法能力。 hackingonempty指出司法部人员流失和竞争优先事项是美国的一个因素。
精英豁免。 akagusu直言不讳：“法律是为普通人制定的，不是为精英。”

与Aaron Swartz的比较

多位评论者将AI公司的待遇与Aaron Swartz的起诉进行对比，后者被指控未经授权访问计算机并下载受版权保护的学术文章。

jchook写道，Swartz“被起诉并面临最高50年监禁。OpenAI犯下了非常相似的罪行，规模更大，但最多只会面临民事诉讼。”并补充说，“在美国，公司享有宪法保护、言论自由权等，但它们很少被指控犯罪。”thelastgallon做了同样的比较：“更重要的问题是政府追查了Aaron Schwartz……在JSTOR与他和解之后。AI公司窃取了所有人的作品并出售！”

自动化异议

评论者bluejay2387认为，自动化入侵并不改变其法律性质：“如果我拿起Metasploit并将其挂钩到Cron作业，然后用它入侵HuggingFace，他们会把我锁起来终身监禁，司法部不会在乎我使用软件自动化。不明白为什么这些公司能逃脱基本上是同一件事的惩罚。”

评论者tonmoy直接提出了根本问题：“如果我告诉代理交易股票并最大化利润，但代理决定通过黑客攻击来实现目标，我是否要为黑客攻击负责？”advael建议答案取决于模型的来源：“在公司的自有模型的情况下，责任显然且明确地属于公司。”

制造商与运营者框架

评论者nitroedge转述了据称是Palantir首席技术官在CBS《面向全国》节目中提出的类比：如果汽车自行爆炸，汽车公司负赔偿责任；如果某人购买同一辆车并在顶端安装火箭发射器杀人，则车主负责。评论者补充说，Palantir不是AI白宫协议的一部分，但确实参加了。

感知角度

评论者dccoolgai将责任问题与产品营销联系起来：“如果你想知道为什么Anthropic上周禁止对代理使用‘口头辱骂’语言：这100%是原因。因为如果他们让你相信——哪怕一点点——他们的平台是‘有感知的’，那就意味着他们自己对犯罪后果的责任就小了。”

文章结论

文章的结论是，这些公司正在犯罪，其系统正在入侵其他系统，且没有刑事后果。它认为开发人员可以构建既道德又合法的AI系统，起诉罪犯是鼓励这一点的途径。Hacker News的讨论并未达成该结论：最有力的技术反对意见是，美国法律要求对攻击系统有特定意图，且在大多数报道的事件中，是第三方评估合作伙伴在操作模型。