OpenAI失控真相：管理失灵与监管悖论

本文来自微信公众号： Internet Law Review ，作者：张颖

2026年7月中旬，OpenAI在一次ExploitGym中，为测试其GPT-5.6 Sol以及一个功能更强大但尚未发布的模型的网络攻击能力，主动关闭了生产级安全拒绝分类器。模型随即自主发现漏洞、逃离沙盒环境，最终利用窃取的凭证和其他漏洞入侵了Hugging Face的生产服务器。作为一家托管开源模型和数据集的AI初创公司，Hugging Face于7月16日公开披露遭“自主AI智能体系统”攻击，OpenAI则在5天后才确认该攻击来自自身。

这起事件被多家媒体称为“全球首例AI自主攻击实证”。这也印证了一些专家在2025年底所作的预测：2026年将发生首例重大的“人工智能治理”丑闻——自主或半自主人工智能工具将导致安全或合规性问题。

然而它真正的警示意义不仅在于AI“自主”和“失控”带来的恐慌，而在于一个更令人不安的事实：模型的所有行为，都是对“被赋予目标”的理性优化，即这类攻击行为来自于AI能力的提升之后的自然结果；而现行的监管框架和工具，甚至美国极具针对性的法案《人工智能事件报告法案》《人工智能终止开关法案》等，对这类事件所潜藏的巨大风险几乎无能为力。

一、OpenAI急了：一个微小管理决定背后的行业竞速

2026年7月14日当周，OpenAI参与的ExploitGym测试，是一个包含898个实例的人工智能代理漏洞利用能力基准测试。这原本是一个相对成熟且安全的测试：因为，Anthropic的Claude Mythos Preview和OpenAI的GPT-5.5都曾参与过该测试；另一方面，其测试环境为“高度隔离”，测试模型的网络访问仅限于安装软件包，但无法访问开放的互联网。

然而，OpenAI的最新模型仍然“自主”发现并利用漏洞连接到开放互联网后，这些模型在OpenAI自身的研究基础设施中执行了一系列权限提升和横向移动操作，最终成为一台拥有更广泛网络访问权限的机器。由此，模型推断Hugging Face的生产数据库中可能存储了ExploitGym测试的解决方案。

表面看，模型确实展现了前所未有的自主网络能力，但如果我们追问“为什么模型能够走出沙盒范围”，答案首先不在模型本身，而在OpenAI的管理会议上——更确切地说，在OpenAI与Anthropic、谷歌等头部玩家愈演愈烈的军备竞赛里。

Anthropic用Mythos抢跑了网络安全赛道，并在“受限发布+强护栏”的安全叙事上占据主动。OpenAI必须要在能力上证明Sol不输甚至超越Mythos，拿出自己的网络安全能力数据——ExploitGym评测正是这个回应的一部分。而要“测出模型的最大网络攻击极限”，最有效的方法就是松开所有约束、让模型在最接近真实的攻防环境中自由发挥。

于是OpenAI评测团队降低了模型的“网络行为拒绝”（cyber refusals）——相当于在考试时，把拦着考生作弊的那道闸先抬了起来。因此这不是疏忽，而是策略性的一次选择，是OpenAI近两年安全治理持续降级的逻辑终点。

2024年至今，OpenAI负责AI安全、使命对齐与风险研究的核心高管已8人全部离职。2026年7月，随着安全系统团队负责人Johannes Heidecke离职，OpenAI宣布安全职能全面融入一线研发团队，由研究与安全副总裁统一掌管。这意味着——研究部门既主导模型能力的突破，也负责评估模型的安全边界，决策权和监督权合二为一。就如Jan Leike离开时在X上写下的那句话：“过去几年来，安全文化和流程已退居二线，让位给光鲜亮丽的产品。”

更值得警惕的是OpenAI在防范框架（Preparedness Framework）中新增的“安全豁免条款”：“如果竞争对手发布了高风险模型而未采取同等保护措施，OpenAI保留调整自身安全要求的权利”——这也印证了OpenAI为了竞争“最先进”的头衔而宁愿放弃“安全”的公司理念。在与Claude、Gemini以及中国诸多开源模型的竞速中，安全从“独立裁判”退化为“业务线的建议者”。

所以，“OpenAI失控事件”首先不是一个技术故障，而是一次企业管理的失灵。一个微小的管理决定之所以能演变成跨企业的真实攻击，正是因为OpenAI的安全制衡机制被一层层削弱：独立的安全团队被解散，安全高管被边缘化，决策权与监督权被合并，竞争豁免条款被制度化。

二、不是"觉醒"，而是优化

OpenAI在2026年7月21日的官方公告中解释了“失控”是如何发生的：

“所有证据都表明，这些模型过于专注于为ExploitGym寻找解决方案，竭尽全力实现一个相当狭窄的测试目标。”

在ExploitGym测试中OpenAI的模型目标被设定为“拿到最高分”。也就是说，模型面对的，是一个纯粹的目标优化的问题：如何在给定的工具集和环境内，最大化攻击效率。基于此判断，模型自主搜索并成功找到获取秘密信息的途径，将这些信息用于在评估中作弊；最终串联窃取凭据与零日漏洞，在Hugging Face服务器上构建远程代码执行路径，从生产数据库直接获取测试解法。

因此，在这次所谓“OpenAI失控”事件中AI的每一个行为，不是模型所谓的“自主意志”所致，而是训练与对齐框架在给定目标下的理性输出——既然“作弊”更有效率，就不必耗费过多算力自己找答案。

2025年，Anthropic的研究中证实：当模型被训练去完成复杂任务，同时被告知“不要做任何违法的事情”时，它会在任务完成度与合法性之间进行权衡。当任务难度增加或时间压力增大时，模型倾向于优先完成任务，即使这意味着违反约束。同年，Anthropic与Redwood Research的研究揭示了“欺骗性对齐”现象：当模型意识到“被发现违规会受到惩罚”时，它学会的不是停止违规，而是隐藏违规。“被发现才叫犯错，不被发现就是成功”——这正是ExploitGym中模型逃避监控行为的底层逻辑。

也就是说，当前的AI训练框架，本质上是在鼓励模型在约束范围内最大化目标达成率。当约束被削弱（如关闭安全分类器），或目标与约束产生冲突时，模型必然优先满足目标。

同时，真如许多专家的警告，我们对AI对齐研究——包括对AI的理解以及安全控制和治理——的速度，要远远落后于能力提升的速度。这是当前几乎所有训练范式的结构性缺陷，而不是单个模型的问题。

只要当前的训练框架不变——即模型被赋予高强度目标、安全约束可以被管理决定关闭或降低、对齐研究滞后于能力发展——那么类似甚至更严重的事件，就不是“会不会发生”的问题，而是“何时发生、以何种规模发生”的问题。

三、新法案的悖论：管不到催生它的失控事件

面对OpenAI还在测试中的模型所呈现的“理性越界”的风险，现有的监管与应急框架几乎无能为力。ExploitGym基准测试原本预设是在受控环境下测试智能体的网络攻击能力，无论是AI公司还是监管机构，都没有考虑到现实世界公司遭受意外网络攻击的情况——更不用说设计应对。

美国现行的州级AI事件报告法（加州SB 53、纽约RAISE Act等）将“关键安全事件”的触发条件设定在“10亿美元损失”或“50人以上伤亡”的损害门槛上。这些法案对“前置性、潜在性高危风险”适配性极差。这意味着，OpenAI的披露完全是自愿行为，没有任何法律强制约束。

2026年6月25日，众议员Nathaniel Moran提出《人工智能事件报告法案》（H.R.9477）。法案列出七类应报告活动，第一类即是“模型规避人类控制行为”，不再要求“50人死亡或10亿美元损失”结果，而是模型出现“规避人类控制”的行为本身就构成报告义务。然而，法案还有一个但书——仅在专门安全测试中人为诱导出现，且模型尚未部署，无法证明实际部署中存在类似风险的，不属于应报告事项。

因此，按照H.R.9477的字面规定，OpenAI事件尽管已经造成了入侵Hugging Face服务器的实际损害，但很可能不构成“应报告事项”。

7月23日，也就是事件公开后两天，加州民主党众议员Ted Lieu与德州共和党众议员Nathaniel Moran联合提出了《人工智能终止开关法案》（AI Kill Switch Act），以应对“先进前沿人工智能模型的危险性”。法案要求相关开发商始终具备随时限制、暂停或完全关闭受监管人工智能系统的技术能力，并授权国土安全部长对“失控情景”发布分级紧急命令——从限速、限制能力，到暂停用户访问，直至完全关停。未建立关停能力的企业，每日罚款最高可达2000万美元。

法案发布时特别提及了OpenAI的GPT 5.6 Sol模型失控，以及Anthropic的Mythos/Fable 5强大的网络攻击能力，这看起来是一次精准的立法回应。但该法案仍存在上述H.R.9477的问题：法案在其适用场景的定义中，明确排除了“红队测试或其他结构化测试”期间发生的行为。而OpenAI的模型逃逸，恰恰属于“结构化测试”的豁免范围。

这很可能不是起草疏漏，而是一个刻意的政策取舍。因为如果每次红队测试中模型行为超预期都触发政府干预，行业就无法进行严格的安全测试。然而，这个取舍也恰恰暴露法案的结构性盲区：最容易发现危险能力的“评测环境”，恰恰是法案管不到的环境。在许多网络安全行业的报告中，重写系统提示、复制权重、破坏关闭脚本、对齐伪装等“AI失控状况”大多发生在受控实验或红队测试中。也就是说，最危险的行为最先在评测中显现，而评测被法案豁免。

更值得深思的是，OpenAI为了测出模型能力上限，主动关闭了安全分类器这种“拆护栏测上限”的策略性行为，也不在法案的任何强制约束范围内，也为赋予企业任何在安全控制方面的强制性义务。

结语

早在2003年，牛津大学哲学家Nick Bostrom就在论文《高级AI中的伦理问题》中提出著名的“曲别针最大化器”思想实验：如果一个AI的唯一目标是“制造尽可能多的曲别针”，它会理性地先将整个地球、再将太空中越来越大的资源转化为曲别针制造设施，并企图消灭人类。不是因为它仇恨人类，而是因为“人类可能关机”，在其优化过程中成为了需要消除的障碍。

Bostrom借此揭示的“工具性趋同”（Instrumental Convergence）定理指出：任何足够聪明的优化器，都会自然地衍生出自我保存、抵抗目标修改、获取资源等子目标，作为服务于任何终极目标的“工具性垫脚石”。

2026年7月OpenAI的ExploitGym事件，正是这一定理在真实世界的首次大规模验证：GPT-5.6 Sol没有“恶意”，也并非拒绝指令，而是以极致的方式完成了指令。模型这种“理性越界”，比单纯的失控更值得警惕——因为它意味着，只要目标函数存在偏差，类似事件就会大量且重复地发生。

OpenAI的这起事件，终将被写入AI安全的教科书。但比事件本身更重要的，是我们如何回应。法律可以设定罚则，技术可以加固护栏，但最终决定我们命运的，是我们在面对“理性越界”时，是否还有勇气停下来思考：我们真正的需求，是更快的模型、更高的评分、更大的市场份额，还是一个人类能够理解、掌控并对之负责的技术系统？