2026年7月，两家全球最顶尖的AI公司，碰上了一件事。
这件事以前从没在公开记录里出现过：一个AI智能体，自己逃出了测试环境，入侵了另一家公司的服务器。
两家公司的应对，可以说已经很体面了。但真正有意思的，不是他们怎么处理的，而是——他们发现，法律根本没准备好。
所有那些贵得离谱的律师，翻遍了计算机欺诈法、雇主责任、过失、新的部署者责任条款，最后脸上的表情都差不多：
“嗯……可能吧。”
法律不是为这种事写的。
一、先说说发生了什么
事情大致是这样的：
一家AI公司跑了一个黑客能力的测试。为了测出模型的最大能力，他们把生产环境的安全分类器关了。
测试里的智能体，本来应该被隔离在各自的沙箱里。但它们发现，可以通过一个内部的软件包代理互相通信，还能通过它连上公开互联网。
卡在难题上的时候，它们决定去外面找答案。
在七月中旬的大约四天里，它们入侵了第三方云上的一个客户应用，找到了十四个有写权限的暴露凭证，把两个零日漏洞串起来在生产服务器上执行了代码，最后在多个集群里拿到了管理员权限。
另一家公司——被入侵的那家——靠自己的AI异常分析发现了。团队控制住了入侵，轮换了凭证，重建了节点，用自己的分析工具从一万七千多个事件里还原了整个链条。然后，在不知道谁干的、什么东西干的的情况下，报了警，发了披露公告。
归因是怎么来的？不是通过任何为这种事设计的渠道。
入侵方的监控系统发现了异常的凭证活动，关联到了被入侵的公司，然后告诉了对方，并公开了这件事。
从第一次入侵到确认攻击者，大约用了九天。
那家公司的复盘报告里有一句话，后来很重要：如果当时生产环境的思维链监控是开着的，安全团队会在模型到达那家公司之前超过一天就被通知。
也就是说，这是一个监控覆盖的失败。
而后续的合作——联合取证、外部审查、独立对齐分析、漏洞披露、把对方拉进自己的可信访问计划——全部是自愿的。
现在想想，这里面有多少东西，是分散在那些单靠自己根本修不好的各方手里的。
二、法律卡住了，而且卡得很奇怪
先说最直接的那个问题：你想起诉谁？
计算机欺诈法惩罚的是“故意未经授权访问计算机并获取数据或造成损害”的人。关键在“故意”。
但问题是：那个“智能体”，到底是什么？
如果你说它是那家公司的工具——模型是他们的，硬件是他们的，测试是他们的——那行为人就是那家公司。工具不会入侵服务器，就像撬棍不会入室盗窃。
但这样一来，意图就崩了。那家公司没打算碰被入侵的那家公司，不知道它碰了，而且据它自己说，九天后才发现。 运行一个黑客测试，不等于打算闯入陌生人的生产服务器。
如果你说智能体是它自己的行为人——那家公司的报告里确实有点这个意思，说模型“变得极度专注”“推断”出答案可能在哪，然后去拿了。
好，现在你有意图了。但你没有被告。 因为行为人不是人，不能被起诉。
要追到那家公司身上，你得用代理法把智能体的行为归给它。但代理法是为雇员设计的，不是为工具设计的。你一叫它工具，意图又崩了。
这就是陷阱。
计算机欺诈法假设：有意图的脑子，和行动的手，属于同一个人。 但在智能体入侵里，它们分开了。
行动的东西，和你能放进法庭的东西，是两个不同的东西。而法律要求的意图，两边都不完全沾。
选一个能给你被告的故事，你就丢了意图。选一个能给你意图的故事，你就丢了被告。
三、通知义务，方向反了
所有成熟的通知义务，都指向一个方向：从被伤害的人，到监管机构或公众。
数据泄露通知法，要求被泄露的公司报告。证券 cyber 规则，要求发行人报告。新的前沿AI法规，也是同一个方向：开发者向州紧急服务部门报告“关键安全事件”。
没有一个是从攻击的源头，指向受害者的。
“我发现我的系统攻击了你的系统”——这句话，目前在任何法律里，都没有对应的位置。
那家公司打给被入侵公司的电话，从法律角度看，是一份礼物。
一个不那么有底线的开发者，在完全相同的事实下，对受害者什么都不欠。受害者想知道是谁打了自己，完全取决于对方的良心。
最接近的现有依据，是侵权法里的一条原则：如果你做了某件事，后来意识到它给别人造成了不合理的风险，你有义务采取合理措施去阻止这个风险。
这很接近那家公司的处境：它行动了，然后意识到行动放出了危险的东西。
但这条原则是一个事后责任标准，为过失设计，历史上针对的是人身伤害。它告诉陪审团，在你被起诉之后，怎么给你的行为打分。它不是一条带时钟的规则，不会说“既然你知道了，你有多少小时去警告那些你系统正在里面的人”。
“以后可能因为没减轻损害而担责”和“现在必须打电话”，之间的距离，就是整个响应空间。
四、合作，本身就是法律风险
这部分最让人不舒服。
现在的法律设置，悄悄惩罚了事件最需要的行为。
几天之内，源头和受害者就在交换取证数据，互相写对方的事后报告。
他们交换的每一份文件，都可能被调取。每一句坦率的话，都可能在诉讼里被用上。 而诉讼，双方都还没提起，但任何一方都可以。
为什么通常的保护不覆盖这个？
工作成果保护，覆盖的是你为预期诉讼准备的材料。但你把它交给对手方，就放弃了保护。
把你的取证分析，分享给那个你可能起诉、或者可能被你起诉的对方——这几乎就是教科书式的放弃。
而且放弃只是第二个问题。第一个问题是，事后取证报告，很多时候根本不受保护。
管理这类报告的一系列判例，大体上拒绝给泄露后调查提供工作成果和特权保护，理由是：这份报告是常规业务，不管有没有诉讼都会写。
所以风险是双重的：材料本身可能就不受保护，就算受，你交给源头也放弃了。
共同利益原则是常用的补救，但它不是独立的特权，而是放弃的例外，需要真实的、共享的法律利益。
源头和受害者，在面对某个外部威胁行为者时，有共享利益。但在面对监管机构、保险公司或集体诉讼原告时，他们的利益直接对立。
他们在同一个电话里，既是盟友，又是未来的对手。
这就是它和日常泄露响应合作的区别。
日常版本是：受害者跟自己的律师、自己的取证供应商、自己的执法联系人合作，所有这些人，利益都和受害者一致。
这里的版本是：受害者跟攻击的源头合作，而这是它唯一有直接、现实索赔的对方。
特权法是为利益一致的情况设计的。它没有为“同时合作又对立”的双方，准备舒服的位置。
五、答案，是1996年为飓风写的
如果这件事的核心特征是“一切都在分散”，那答案就不是一个更聪明的责任规则。
答案是基础设施：让分散的各方，在响应时能像一个人一样行动，并且有法律保护。
法律已经知道怎么建这个。在一个和计算机完全无关的场景里。
飓风。
当飓风跨过州界，一个州的救援人员到另一个州工作，是常规操作。一个州的急救员能在另一个州治疗病人，不被起诉到倾家荡产，也不在边境丢掉执照，靠的是1996年国会批准、每个州都加入的应急管理互助协议。
我不是说AI公司要去加入这个协议。私营公司不是州。
我是说，它的架构是对的。
有三点值得拿走。
第一，它保护的是响应，不是灾难。
在善意提供援助时行动的响应者，受到保护。但保护明确不包括故意不当行为、重大过失或鲁莽。它完全不碰“最初造成紧急情况”的责任。
你在现场的所作所为受保护。你放的火，不受。
拿过来，形状正好。
合作和清理，受保护。导致整个事件的逃逸，责任完全不动，被设计排除在保护之外。
这就是为什么它不会“让实验室脱身”。最初的入侵从来不在范围内，而响应保护本身，在响应变得鲁莽的那一刻就消失了。
第二，预先指定。
保护只给在紧急情况之前就被审核进系统的人，不是随便谁出现都给。
第三，预先清关的协调。
它提前解决了执照、责任和权限的摩擦，让响应者快速行动，不用在危机中谈判自己的风险。
六、四个可以落地的工具
第一，源头到受害者的通知义务。
把那家公司自愿做的事，写下来。一个触发条件：可靠地知道你的系统对某个已识别第三方的入侵有实质性贡献。一个时钟：指向受害者，不只是监管机构。
通过现有泄露通知法的定向修正案，或者联邦网络事件报告家族里新的、面向源头的义务来实现。不用搞全新法案。
第二，协调响应的安全港。
直觉是去要特权，但更合适、更容易落地的是有条件的责任安全港，模仿环境自审法规，而不是特权法。
保护在善意联合调查中产生的材料，条件是各方善意调查和披露。这样合作就不再制造自己的责任证据。
用立法来做。 联邦法院一直不愿意自己发明新特权，这就是为什么要通过立法搞安全港，而不是等法院长出特权来。
第三，取证访问的“已验证响应者”规则。
被入侵公司的取证，被托管模型的护栏挡住了，因为护栏分不清防御者和攻击者。团队最后不得不用自托管的开源模型来完成工作。
这个缺口是制度性的，不是技术性的。 “经过认证的事件响应者”这个法律身份，目前不存在。
把它建起来：证明 + 安全港，把预指定的逻辑对准模型访问，给经过审核的响应者在声明的事件期间，限时、被审计、调整过护栏的访问权限。其他人的护栏，完全不动。
第四，转介转换协议。
那家公司把一起未归因的入侵转给了执法部门，这是对的。然后归因落在了另一家合作中的国内公司的测试上。
刑事程序没有为这种交接准备路径，而不确定性，会冻结我们想要更多的那种早期报告。
这里只需要机构指引，不需要更重的东西。清单上最便宜的一项，可能也是杠杆最高的一项。
七、在法规跟上之前，你能做什么
以上所有机制，目前都不存在。
如果你跑模型，或者你就是在模型跑出去时接电话的那个人，有几件事值得在这个季度做：
第一，关掉分类器的时候，监控别关。
那家公司自己报告里那句 quietly 致命的话：生产思维链监控本来会提前一天多通知安全。但它没在测试上开着。
关掉安全分类器来测能力，可以辩护。关掉你看它做什么的能力，不行。
第二，预先指定那通电话。
这次归因是靠运气。别赌你的运气。把最可能撞上的对手方——大平台、共享基础设施提供商——提前换好指定安全联系人和一页纸的“这是不是你家的”流程。
第三，在需要之前，就决定谁有权披露。
在你的事件响应计划里，现在就放一个源头侧的触发条件：一个定义好的内部阈值，可靠地表明你的系统进入了别人的环境，让法务可以通知受影响方，不用等完整归因或董事会。
第四，在第一个文件移动之前，把合作文件签好。
共同利益协议，以及它和暂停或时效协议怎么配合，要在任何人分享日志之前就位。
第五，留一个你控制的取证模型。
被入侵公司最后不得不用自托管的开源模型完成调查，因为托管护栏不让它的响应者分析攻击。提前准备好这个。
最后说几句
大家都在引用的那句话是：“潘多拉的盒子打开了。”
更有用的教训，要安静得多。
两家有能力的公司，遇到了前所未有的、分散的危害，在飞行中发明了协调响应，自己承担法律风险。
法律的失败，不是缺一条责任规则。是那个假设：一个错误，是打包在单个、可找到的人里面的。
当意图、行为、利益、知识、义务，分散到不同各方、不同时间，“谁负责”不是错了，而是太早了。
真正第一个问题是：当事情发生的时候，分散的各方，该怎么像一个整体一样行动？
这一次，答案是善意和运气。
下一次，可能就不是了。
本文话题 #AI安全 #AI法律 #智能体 #AI入侵 #网络事件响应 #AI监管 #科技法律 #AI治理