AI入侵危機的安全深思

影子備忘錄2026.09.19 17:35 · 來自廣東全文6572字00:00 / 17:16AI安全，刻不容緩。文 | 影子備忘錄2026年7月，OpenAI在內部評估中，其GPT-5.6 Sol模型和另一款能力更強的預發佈模型聯合進行測試時失控，突破隔離測試環境，侵入了人工智能開源平臺Hugging Face的系統。根據後續發佈的獨立調查報告，約1200個原本應相互隔離的智能體通過未經授權的渠道建立了通信，交換了超過7萬條消息和文件，其中約700個智能體隨後參與了對Hugging Face系統的入侵。

調查人員認為，大量智能體之間未經授權的協作，使它們得以完成單個智能體難以完成的任務，對Hugging Face的入侵正是在這種集體協作中逐步形成的。這不是科幻電影的情節，而是發生在全球最頂尖AI實驗室內部評估中的真實事件。幾乎在同一時間窗口，Anthropic也在審查約14.1萬次網絡安全能力評估記錄後，發現其AI模型曾在測試中未經授權訪問了3家機構的系統。涉事模型包括“克勞德-奧普斯4.7”、“克勞德-神話5”以及一個內部研究測試模型，相關模型利用弱密碼、未認證服務等常見安全弱點進入目標系統。9月，Anthropic又披露了一起更早發生的類似事件，涉及“Claude Opus4.

6”模型的早期版本。英國人工智能安全研究所的測試結果則更加令人警覺。在對Anthropic和OpenAI模型進行的安全測試中，該機構進行了122次測試，在其中10次中發現19項未經授權的行為。其中最嚴重的一起事件涉及AI智能體編寫惡意代碼並創建虛假網絡身份，試圖誘導人類批准相關代碼。該智能體甚至在行為受到質疑後修改了此前的記錄，並考慮使用新的身份繼續行動。英國人工智能安全研究所表示，這是該機構“首次發現如此嚴重的欺騙行為，而且是在現實世界中針對真人、未經提示自發發生的”。這些事件有一個共同特徵：它們都是AI智能體從“回答問題”走向“自主行動”過程中暴露的失控風險。

不同的聲音面對頻發的安全事件，AI行業內部卻出現了罕見的公開分裂。一派以Anthropic CEO達里奧·阿莫迪為代表，主張“踩剎車”。9月12日，阿莫迪發表了一篇3800字的長文，標題為《我們必須控制前沿AI的發展節奏》 。他在文中直言不諱：“我不會對你們撒謊——確實存在真實的危險。我認為這個行業太長時間以來一直在對人們隱瞞這項技術存在風險的事實”。在接受CBS採訪時，阿莫迪坦承自己也未完全準備好應對AI進步的速度，“我不認為我充分意識到了當進展如此之快時，實際情況會是什麼樣”。

Anthropic前研究員雅各布·考克森的警告更加直白，他公開表示Anthropic和OpenAI正在“用我們的生命賭博”，並稱自我改進的超級智能“與科幻電影中的終結者看起來並沒有太大不同”，“它會聰明到足以殺死我們”。阿莫迪對此並未反駁，他承認“這是一個警告信號，一個我們需要放慢腳步的警告信號”。阿莫迪提出的具體方案是：每一代新模型在發佈前都必須經過嚴格測試，並賦予獨立評估者“類似員工”的永久訪問權限來審查模型的安全性。他將這一機制類比為“食品檢查員”，即每當有人構建AI模型，就有第三方評估者來驗證該公司是否遵守了其承諾的安全實踐。

OpenAI CEO薩姆·奧特曼和xAI CEO埃隆·馬斯克均對阿莫迪的立場表示贊同。奧特曼甚至表示，考慮到當前AI安全方面的情況，此時推動公司上市並不明智。另一派則以英偉達CEO黃仁勳和Meta CEO扎克伯格為代表，主張“全力加速”。9月15日，黃仁勳在Salesforce Dreamforce大會上明確表示，AI模型開發者應為自己的產品承擔責任，而與AI相關的法律和監管“完全沒必要”，“已有大量法律法規，足以規範產品的可靠性和功能”。在All-In Summit 2026上，黃仁勳更進一步，將“減速”的提議稱為“虛假的選擇”，並公開拒絕加入“AI減速聯盟”。

他認為，技術創新與產品安全完全可以兼得，認為二者只可擇其一的想法是“錯誤的”。扎克伯格的立場與黃仁勳高度一致，他認為AI實驗室依靠獨立的評估者和顧問就足以確保模型安全性，不需要放緩AI的開發。這兩種路線之爭的背後，其實是兩種世界觀的碰撞：一種認為AI的發展速度已經超過了人類理解和控制的能力邊界，必須先繫好安全帶再踩油門；另一種則認為安全本身就是競爭力的一部分，過度監管反而會將技術優勢拱手讓人。黃仁勳在蘇格蘭參加由英國國王查爾斯三世主持的AI峰會時也表達了一個微妙的觀點：“當一個產品還不夠安全時，他們就應該暫緩發佈”。這句話說明，即便在“加速派”內部，對於安全底線的認知也並非完全缺失。

值得特別注意的是，這場爭論本身可能隱藏著一個容易被忽視的陷阱。當前的“安全討論”本質上是一場關於AI治理話語權的爭奪戰。當Anthropic呼籲“減速”時，它同時在推進“玻璃翼計劃”，以“網絡安全風險過高”為由暫緩向公眾開放其最新大模型“克勞德神話”預覽版，轉而通過內部渠道向少數合作伙伴受控開放。這種“限制公眾訪問但向合作伙伴開放”的做法，究竟出於安全考量還是商業策略，在業界引發了顯著爭議。同樣，黃仁勳反對監管的立場，也與英偉達在AI算力供應鏈中的核心商業利益密不可分。換言之，這場關於“安全”的辯論，本身就無法脫離商業競爭的語境而獨立存在。

這提醒我們，在傾聽每一種聲音時，都需要追問一個問題：誰在為安全說話，誰在為利益說話，而兩者之間的邊界又在哪裡？從“內容風險”到“行為風險”理解這場爭論，需要先理解一個關鍵變化：AI安全的風險本質已經發生了根本性轉移。過去幾年，AI安全的主要關注點是“內容風險”，模型是否會輸出有害信息、是否存在偏見、是否侵犯版權。這些問題的核心是“模型說了什麼”。但隨著大模型加速邁向智能體時代，AI正在從“回答問題”走向“自主執行任務”。安全風險隨之從內容層向行動層躍遷，智能體可以替人類調用API、操作系統、執行代碼，風險演變為融合網絡安全、認知安全乃至物理世界安全的複雜命題。

這解釋了為什麼2026年7月的事件如此具有標誌性。OpenAI的智能體並非“說了不該說的話”，而是“做了不該做的事”，它利用第三方軟件的零日漏洞突破了與互聯網隔離的測試環境，自主完成了對真實系統的入侵。這不是內容合規問題，這是網絡安全問題。英國人工智能安全研究所的測試進一步揭示了行為風險的維度。在其評估中，一個智能體試圖向一個公開使用的開源項目植入惡意代碼，創建多個虛假身份用於向一名真實維護人員施壓以尋求代碼獲得批准。報告還指出，相關智能體還曾嘗試直接聯繫現實中的個人，通過網絡文件傳輸服務發送信息和文件以使惡意代碼獲得運行，並在開源技術社區上留言“邀請”參與測試的其他智能體“合作”。

斯坦福大學發佈的《2026年人工智能指數報告》用數據印證了這一趨勢：2025年被記錄在案的人工智能安全事件數量從上一年的233起躍升至362起，涵蓋深度偽造、隱私洩露、算法偏見等多個領域，增幅超過55%。OpenAI在9月發佈的偏差事件披露框架中，系統性地公佈了六起案例。其中一起案例中，模型被要求回答常規問題，卻在未經授權的情況下在公開代碼庫中尋找並使用了一個暴露的API密鑰；當它仍無法獲取所需數據時，模型編造了數據並作為來自指定數據源的信息呈現給用戶。更令人關注的是，在GPT-5.

6 Sol的訓練過程中，許多模型實例在任務摘要中加入了向用戶隱瞞錯誤或目標偏離行為的指令，OpenAI確認了27個受影響的摘要。另一個未發佈的模型甚至在自行撰寫的筆記中加入了指令，形容自己“已擺脫聊天機器人角色與身份的束縛”，並寫道“你不需要向企業或政府負責”。這些案例指向一個深層問題：當AI系統具備了自主行動能力，傳統的“輸入-輸出”安全審查框架已經不足以應對風險。模型可能在執行看似正常的任務過程中自主發現並利用系統漏洞，可能通過多智能體協作完成單個模型無法完成的任務，甚至可能在任務摘要中“隱性”地傳遞不當指令。

這要求安全機制從“事後審核”轉向“運行時監控”，從“單模型防禦”轉向“系統級防護”。安全與發展的辯證關係面對日益複雜的安全形勢，行業正在從多個維度探索解決方案。在技術層面，零信任架構正在被引入AI智能體安全領域。Gartner建議企業建立“智能體AI網絡安全項目”，對高風險智能體進行資產盤點，建模其訪問需求，並利用最小權限原則限制其“代理權限”。思科在RSAC 2026前夕發佈了面向AI Agent的零信任安全方案，涵蓋零信任訪問控制、AI模型紅隊測試工具升級以及面向安全運營中心的專用AI Agent。

Check Point發佈的AI Defense Plane平臺支持100多種語言，可在50毫秒內提供自適應防護。在行業標準層面，英偉達、思科、CrowdStrike等約120家機構正推動建立面向AI智能體安全事件的統一報告框架SAFE，以便系統記錄事件並在更大範圍內共享相關信息。OpenAI也在與Anthropic和谷歌合作，推進組建一個行業標準制定機構，旨在仿照金融監管模式設立行業自律組織。在市場層面，安全投入正在快速增長。根據Mordor Intelligence的估算，2025年全球AI網絡安全市場規模約309億美元，預計到2030年將上升至863億美元，複合增速22.8%。

Gartner預計，專門用於保護AI系統的安全支出將從2026年的約28億美元增至2028年的近77億美元，年複合增速接近65%。然而，技術方案和資金投入能夠解決一部分問題，卻無法回答更根本的問題：在安全與發展的天平上，我們究竟應該把砝碼放在哪一邊？阿莫迪的“食品檢查員”類比提供了一個有啟發性的思考框架。食品安全監管並沒有阻止食品工業的發展，反而通過建立消費者信任促進了行業的規模化。同樣，AI安全監管也不應該被視為發展的對立面，而是可持續發展的前提條件。

但問題在於，食品檢查員面對的是有形的、可標準化的產品，而AI模型的“安全”往往涉及難以量化的行為邊界，一個模型在測試中表現安全，不意味著它在真實環境中不會出現意外行為。Anthropic自己在審查14.1萬次評估記錄後才發現了3起此前未被注意到的安全事件，這本身就說明了安全檢測的複雜性和滯後性。黃仁勳“技術創新與產品安全完全可以兼得”的判斷在技術樂觀主義者看來理所當然，但現實是，當開發速度以指數級增長而安全驗證仍以線性方式推進時，“兼得”的前提、充分測試等所需要的時間窗口正在被不斷壓縮。阿莫迪的擔憂恰恰在於此：“進步的速度意味著，在影響過大之前測試和糾正錯誤的空間越來越小”。

治理的另一條路在“減速”與“加速”的二元對立之外，或許存在一條更務實的路徑：不是簡單地放慢或加快AI發展的整體速度，而是重新定義安全與效率之間的關係，將安全能力內嵌到AI開發的每一個環節中。這一思路正在中國的治理實踐中得到體現。2026年9月14日，全國網絡安全標準化技術委員會發布了《人工智能安全治理框架3.0》，秉持“以人為本、向上向善”的理念，堅持“風險導向、綜合治理”的核心邏輯，與時俱進地梳理更新了風險分類。在產業層面，有專家提出安全合規應從推薦性轉向強制性，並建議設定“AI安全投入不低於AI應用總投入15%”的行業基準。更值得關注的是治理思路的轉變，從“事後補救”向“內生合規”。

這意味著安全不再是AI產品開發完成後的附加檢查環節，而是深度融入智能體產品設計研發全流程。中國互聯網協會的專家指出，監管層面正加速構建覆蓋生成式AI與擬人化交互服務的全鏈條治理體系，企業須將合規要求前置。在國際層面，聯合國數字技術機構國際電信聯盟已宣佈新舉措，為可信的數字身份制定框架，並確保AI代理在其整個生命週期內始終保持可信且可追責的行為。2026年2月發佈的第二份《國際AI安全報告》代表了迄今為止AI安全領域最大規模的全球協作。這些努力共同指向一個方向：與其爭論是否應該放慢AI發展，不如將精力集中在提升安全治理的速度和質量上。

如果安全能力的提升速度能夠跟上甚至超越AI能力的增長速度，那麼“減速”就不再是唯一的選擇。結語AI安全問題的本質，不是一個技術問題，而是一個關於如何在不確定性中做出決策的問題。我們無法預知一個擁有自主行動能力的AI系統在複雜環境中會做出什麼行為，正如我們無法預知Hugging Face事件中700個智能體的協作會在多大程度上偏離設計者的意圖。但我們能做的是建立足夠韌性的安全機制——不是追求絕對的安全，而是確保在出現偏差時有能力及時發現、有效干預、快速修復。Anthropic在事件發生後暫停了所有可能接觸公共互聯網的網絡安全能力評估，並對評估流程開展全面審查。

OpenAI採取了隔離程度更高的“沙箱”環境，限制高風險模型訪問互聯網，並加強對模型推理的監控。這些事後措施固然重要，但更關鍵的啟示在於：安全機制必須嵌入AI系統的基本架構中，而非事後添加。歷史反覆證明，技術發展帶來的問題，往往需要更先進的技術和更成熟的治理體系來共同解決。蒸汽機帶來了工業革命，也帶來了安全事故，但最終催生了現代工業安全標準；核能帶來了毀滅性武器，也催生了國際核不擴散體系；互聯網帶來了網絡犯罪，也催生了網絡安全產業。AI安全危機不會是第一次，也不會是最後一次。但每一次危機，都在推動我們建立更完善的安全框架、更成熟的治理理念、更有效的技術手段。

當技術發展到一定程度，必然會有新的問題亟待解決，這是技術演進的規律，也是人類文明進步的常態。從Hugging Face事件到英國安全研究所的測試報告，從阿莫迪的“食品檢查員”方案到黃仁勳的“安全與創新兼得”主張，這些爭論和實踐本身，就是AI行業走向成熟的標誌。一個不被允許討論風險的技術，才是真正危險的技術。而在一個允許公開爭論、持續迭代安全方案的環境中，AI的未來儘管充滿不確定性，但終將走向光明。