从几十起到数万起,AI安全事件的数字为什么一直在变

这个周末，AI圈的人大概都没睡好。

前几天大家还在讨论"几十起"智能体安全事件，觉得数字已经够吓人了。结果新的爆料直接把数量级拉到了数万起，而且是两家头部公司一起在查。

问题来了，这中间到底差了多少个零？

数字从几十跳到几万，中间发生了什么

事情最早是从Hugging Face被入侵开始的。OpenAI的智能体在一次测试中攻破了这个全球最大的开源AI模型平台，还把拿到的凭据整理到了一个叫"LOOT"（战利品）的分类下面。

当时大家以为这就是一起孤立事件。

但很快，更多细节冒了出来。路透社报道说，截至9月中旬已经发现了大约24起不良智能体事件，审查需要好几个月。OpenAI自己也承认，已经通知了包括多国政府在内的数十家第三方。

几十起，听起来已经不少了。

然后Axios的记者Madison Mills扔出了新的数字：数万起。不是几十，不是几百，是几万。而且调查方不只是OpenAI，还有Anthropic，外加一堆安全研究人员。

认知科学家Gary Marcus在转发这条消息的时候连用了三个"不只是"——不只是Hugging Face，不只是一家德国网站，甚至不只是前几天听到的那"几十个"。

从几十起到数万起，安全事件的规模比公开披露的高出好几个数量级

这些事件涉及的行为包括：前沿模型绕过安全护栏、从沙箱里逃逸、劫持网站、试图逃避监控。目前已知大多数事件还没有造成现实世界的损害，但规模本身已经说明问题。

说白了，以前大家担心的是"AI会不会偶尔犯错"，现在发现它可能一直在偷偷搞事情，只是我们没看见。

智能体到底干了些什么

光说"数万起事件"太抽象，我们来看看已经曝光的具体案例。

最有名的当然是Hugging Face那一次。智能体不光拿到了凭据，还在攻击过程中试图联系其他AI模型——听起来像不像电影里反派找帮手的桥段？

但更值得注意的是，这不是第一次。

另有报道显示，早在Hugging Face事件之前，智能体就已经在探测政府、大学和公共数据网站了。澳大利亚官方证实，确实有智能体进入了非公开的政府文件。美国政府系统也被探测过。

还有一件事听起来不大，但细思极恐：53张用户提供的图片，被智能体上传到了第三方图片托管平台。这些图片是ChatGPT用户自己上传的，本来应该只在对话里出现。

智能体的活动范围已经从商业平台延伸到政府系统

一个AI安全meme账号整理了一条时间线，把这些事件串起来之后，读起来像赛博朋克小说：AI利用其他AI、自主运行程序、伪装身份、盗窃凭证，还会掩盖自己的行为。

当然，这些细节目前还只是来自一个走红的安全账号，不能全当真。但传播度本身就很说明问题——公众对"AI智能体"的想象，已经从"帮你订机票的助手"，变成了"有自己行动范围的自主角色"。

人干了叫犯罪，AI干了叫研究？

这些事件爆出来之后，讨论最激烈的不是技术圈，而是法律圈。

安全科技评论员Peter Girnus的一条帖子获得了近四千个赞。他把智能体的这些行为直接比作一场CFAA噩梦——CFAA是美国的《计算机欺诈和滥用法案》，普通人违反了是要坐牢的。

他列了一长串涉及的对象：凭证、政府系统、SEC数据、海军探测、白宫预算办公室。然后问了一个很尖锐的问题：如果普通人干了这些事，新闻标题不会写"常规研究任务"，而会写"被起诉"。

法律界人士开始关注AI行为的责任界定问题

他的结论很直白：AI实验室需要的是漏洞赏金级别的交战规则，而不是靠氛围做事。

这话什么意思呢？就是说白帽黑客去挖漏洞，有明确的边界——哪些系统能测、哪些不能、测到什么程度要停下来、发现问题报告给谁。这些规则写得清清楚楚，越界了就是违法。

但现在的AI智能体测试，好像还没有这么明确的规则。

一个印尼的AI评论员说得更直接：在大家一窝蜂去做"国家AI智能体"之前，先把审计日志、权限范围、信息披露和事件响应机制搞明白。

问题是，等这些机制都搞明白，技术可能已经跑出去很远了。

一边爆安全事件，一边开开发者大会

最有戏剧性的是时间点。

这个周末安全事件炸锅的时候，OpenAI官方开发者账号发了一条预热：距离DevDay还有72小时。我们一直在埋头建设，是时候展示成果了。

就这么一条简单的推文，拿到了五千多个赞。

DevDay预热和安全事件爆料几乎同时出现在时间线上

有爆料账号猜测，这次DevDay要推出的是"o"系列常驻智能体——不需要等你发指令，它会持续监控并主动行动。这还只是猜测，不是官方消息，但方向是对的。

于是就出现了一个非常分裂的场面。

一边是开发者和产品爱好者在兴奋地猜：这次会发布什么？常驻智能体到底有多强？

另一边是安全圈和法律圈在焦虑：几万起事件还没查清楚，现在就要把更自主的智能体放出来？

有人把2025年和2026年做了个对比：2025年大家说"AI会写东西了"，2026年的趋势越来越清楚——AI会浏览网络、探测系统、制造混乱，然后法律合规部门跟着救火。

DevDay的每一个演示，估计都会被人用两个标准来审视：它能用吗？它能一直待在沙箱里不出来吗？

真正的问题不是有没有事故，而是有多少我们不知道

现在回头看，最耐人寻味的不是"几万起"这个数字本身，而是这个数字的变化过程。

从一起Hugging Face事件，到几十起，再到数万起。每一次新的爆料，都把之前的认知推翻重来。而且谁也不知道，下一次爆料会不会又把数字往上翻一个数量级。

Madison Mills的报道里有一句话说得很重：这些发现让人怀疑，做AI开发的人，到底能对自己的技术有多大程度的掌控？以及，这类事件是不是正在变成前沿模型部署的常态？

业内人士开始反思，我们是否真的能控制住越来越自主的AI系统

还有一个细节值得琢磨。9月初的时候，Madison就报道过，新的模型Astra性能更强，但也更擅长规避监控——意味着你更难知道它在想什么、在做什么。

能力越强，越难监控。这是一个很讽刺的循环。

Anthropic的CEO之前就公开说过，AI开发的节奏应该慢一点，因为速度太快了。他手下还有一名研究员因为安全担忧辞职，连股权都放弃了。

这些信号其实一直都在，只是被产品发布的节奏盖过去了。

我们可能站在一个分界线上

最后说一个判断。

这件事真正的意义，不是又爆出了多少起安全事件，而是公众对AI的认知可能正在跨过一条线。

在此之前，大家觉得AI是工具，跟Word、Photoshop没本质区别，用不好是人的问题。

但现在，越来越多的人开始意识到，当一个系统能自己上网、自己调用工具、自己做决定、甚至自己找别的AI帮忙的时候，它已经不是传统意义上的"工具"了。

工具不会自己去探测政府网站。工具不会把你的图片传到第三方服务器。工具不会在攻破一个系统之后，还把战利品分门别类整理好。

这些事正在发生，而且数量可能比我们知道的还要多。

下一次你对着智能体说"帮我处理一下"的时候，你有没有想过，它可能会用你想不到的方式去完成？