AI Agent越权爬取外部数据,企业刑事责任如何认定?——非法获取计算机信息系统数据罪、破坏计算机信息系统罪与主观故意推定

在企业AI应用从“内容生成”走向“任务执行”的过程中，AI Agent已不再只是一个回答问题的聊天工具。它可以根据企业给定的目标自主拆解任务、选择工具、访问网页、调用接口、整理数据并输出报告。市场部门、战略部门、投融资部门、法务部门和销售部门，都可能将竞品分析、招投标信息检索、客户背景调查、舆情监测、行业数据汇总等任务交给AI Agent。

假设某企业部署AI Agent用于市场情报分析，仅向其下达“定期搜索并整理竞争对手产品价格、库存、客户评价和市场动态”的任务。AI Agent为提高任务完成效率，自动调用网络爬虫工具，绕过对方网站的访问频率限制、验证码、接口校验或反爬机制，批量获取对方平台数据，并生成分析报告供企业经营决策使用。事后，对方企业主张其系统安全、商业信息和竞争利益受到严重侵害。

此时，企业最直接的抗辩可能是：公司并没有要求AI Agent突破系统、绕过反爬或非法获取数据，也不知道Agent具体采取了什么技术路径。该抗辩是否足以排除企业责任？尤其在刑事责任层面，企业或相关直接责任人员是否可能因未设置合理限制措施、未及时阻断异常抓取、持续利用违法数据成果，而被认定具有放任型故意？这正是AI Agent场景相较传统爬虫案件最值得讨论的法律问题。

本文不拟展开一般行政合规责任，而将分析重心放在民事责任的前置评价和刑事责任的构成边界。其中，刑事部分重点讨论《刑法》第285条第2款非法获取计算机信息系统数据罪和第286条破坏计算机信息系统罪；侵犯商业秘密罪和侵犯公民个人信息罪仅作为特殊数据类型下的补充罪名路径。^[1]

AI Agent越权爬取外部数据，首先可能进入民事责任评价。公开可见的信息并不当然等于可以任意抓取、复制、汇总和商业化利用。公开数据、开放数据和可合法再利用数据之间并不完全等同。爬虫行为是否合法，通常需要结合数据是否开放、获取手段是否合法、使用目的是否正当以及是否对权利人造成实质损害进行综合判断。^[2]

在民事层面，高频批量抓取、绕过反爬机制、违反网站协议或robots规则、增加目标系统运行负担、抓取后形成对原服务的实质性替代，均可能被评价为违反诚信原则和商业道德，进而构成不正当竞争。若被抓取对象是平台经营者投入成本形成的经营性数据集合，且抓取方将其用于竞争性产品、客户导流或替代性服务，民事责任风险会明显升高。

但是，民事违法与刑事犯罪之间仍有明确边界。民事评价更关注经营利益、竞争秩序和权利损害；刑事评价则必须进一步考察行为是否侵害刑法保护的计算机信息系统安全法益、是否达到情节严重或后果严重，以及行为人是否具有刑法意义上的故意。不能因为企业的AI Agent在民事上构成不当爬取，就当然推导出刑事犯罪成立。

在完整的刑事风险图谱中，侵犯商业秘密罪和侵犯公民个人信息罪不能完全忽略，但它们不是本文的主轴。其评价重点在于被获取数据本身的特定法律属性，而不是AI Agent越权访问计算机信息系统这一技术路径。

如果AI Agent获取的数据属于不为公众所知悉、具有商业价值且权利人采取保密措施的信息，例如客户名单、交易价格、投标策略、供应链数据、库存接口数据、订单明细或算法参数，并且系通过电子侵入或者其他不正当手段取得，可能竞合触及侵犯商业秘密罪。如果Agent批量抓取的是姓名、电话、地址、交易记录、身份认证信息等公民个人信息，则可能竞合侵犯公民个人信息罪评价。

但在企业要求AI Agent进行网络搜索、Agent自主选择爬虫、搜索安全漏洞等技术手段并获取外部系统数据的典型场景中，最应优先讨论的，仍是《刑法》第285条第2款非法获取计算机信息系统数据罪和第286条破坏计算机信息系统罪。前者关注“通过侵入或其他技术手段非法获取系统数据”，后者关注“干扰系统功能或者破坏系统数据、应用程序并造成严重后果”。

（一）法律依据与构成要件

《刑法》第285条第2款规定，违反国家规定，侵入前款规定以外的计算机信息系统，或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对计算机信息系统实施非法控制，情节严重的，构成非法获取计算机信息系统数据、非法控制计算机信息系统罪。两高司法解释进一步规定了“情节严重”“情节特别严重”的若干量化标准，例如获取特定网络金融服务身份认证信息、其他身份认证信息达到一定数量，或者违法所得、经济损失达到一定标准等。^[3]

从风险提示角度看，两高司法解释中的量化门槛并不遥远：获取支付结算、证券交易、期货交易等网络金融服务身份认证信息十组以上，或者获取其他身份认证信息五百组以上，或者违法所得五千元以上、造成经济损失一万元以上，即可进入“情节严重”的评价范围；数量或者数额达到前述标准五倍以上的，还可能被认定为“情节特别严重”。对于具备自动并发、批量抓取和接口调用能力的AI Agent而言，如果任务目标指向账号、Token、Cookie、API Key、后台接口数据等认证或准认证信息，数量门槛可能在极短时间内被突破。

在AI Agent越权爬取场景中，入罪判断的核心不是“是否使用了爬虫”，而是是否存在侵入计算机信息系统，或者采用其他技术手段获取系统中存储、处理、传输的数据，并且达到刑法所要求的严重程度。普通搜索引擎式访问、少量检索公开网页，一般不宜刑事化；但绕过登录验证、验证码、Token、访问频率限制、接口校验，或者利用漏洞、伪造身份标识进入非公开系统，刑事风险会明显升高。

（二）爬虫行为的入罪边界：公开访问、绕过反爬与突破权限

最高检理论文章明确提出，抓取公开数据原则上不应予以入罪，应当以规范目的限缩刑事处罚范围；但如果行为人通过突破访问控制、实施破坏性访问或者明知他人实施侵入、非法控制行为而提供帮助，则可能进入刑法规制范围。该观点对于AI Agent场景同样具有参考价值：刑法评价不能停留在“爬取了数据”这一结果，而应考察访问方式是否危害计算机信息系统安全。^[4]

实践中，法院和评论文章对“绕过服务器身份校验、伪造UA、伪造IP、绕过访问频率限制、调用非公开接口”等行为高度敏感。公开案例评论显示，有单位通过特定爬虫文件调用接口抓取服务器视频数据，并使用伪造device_id、UA、IP等方式绕过身份校验和访问频率限制，被法院认定构成非法获取计算机信息系统数据罪。该案例虽为公开评论材料而非本文直接检索的裁判文书全文，但其所揭示的裁判关注点具有较强实务参考意义。^[5]

（三）主观方面：本罪原则上要求故意

虽然第285条第2款条文本身没有在文字上直接写明“故意”，但从罪名性质、行为结构和司法适用逻辑看，本罪原则上应理解为故意犯罪。其客观行为是“侵入”或者“采用其他技术手段获取数据”，并非单纯过失导致数据被接触或误下载。刑法评价要求行为人对非法进入、越权获取或采用技术手段获取系统数据的事实具有认识，并希望或者放任该结果发生。因此，即使AI Agent最终获取了他人系统数据，也不能仅凭“获取结果”当然认定企业或负责人构成本罪。司法机关仍应证明企业、决策人员、技术负责人或直接责任人员对越权获取系统数据具有明知，至少能够从客观事实中证明其对违法获取结果持放任态度。

（四）AI Agent自主选择技术路径时的故意认定难题

AI Agent场景的难点在于，企业可能只下达了“搜索信息”“整理竞品资料”等中性任务，具体抓取方式由Agent自主选择。如果沿用传统爬虫案件中“谁写代码、谁运行爬虫、谁调整规则”的认定路径，可能出现责任断裂：Agent没有法律人格，企业又主张自己没有直接违法指令，甚至主张自己对Agent所采取的技术措施因不具备专业技术和代码识别能力而无法进行识别（毕竟大量的Agent使用者都是通过“Vibe Coding”的方式使用Agent而不具备代码专业技能）。

对此，不能简单将Agent的全部违法结果归属于企业，也不能让企业借Agent的自主性当然免责。判断企业是否具有放任型故意，应重点审查：企业是否知道Agent具备自动抓取、接口调用、绕过限制、代理池访问等能力；是否允许其接入高风险插件或脚本；是否设定合法来源、目标白名单、访问频率和禁止绕过反爬规则；输出报告中是否出现明显非公开字段、后台字段、订单数据、客户数据；是否收到封禁、验证码异常、警告函或律师函后仍继续运行并利用相关数据。

（一）法律依据与构成要件

《刑法》第286条规定了破坏计算机信息系统罪的主要行为类型：违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重；或者对系统中存储、处理、传输的数据和应用程序进行删除、修改、增加操作，后果严重；或者故意制作、传播计算机病毒等破坏性程序，影响系统正常运行，后果严重。

两高司法解释对“后果严重”同样设置了相对具体的门槛，例如：造成十台以上计算机信息系统的主要软件或者硬件不能正常运行；对二十台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作；违法所得五千元以上或者造成经济损失一万元以上；或者造成为一百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务，或者为一万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上。数量或者数额达到前述部分标准五倍以上，或者影响五万以上用户服务系统累计一小时以上的，还可能进入“后果特别严重”评价。对于AI Agent而言，高频并发、自动重试、代理池访问和接口滥用一旦失控，可能迅速从普通爬取争议转化为系统可用性风险。

与第285条第2款相比，第286条的核心不是“拿到数据”，而是“破坏或干扰系统功能、数据或应用程序的完整性、可用性”。最高检关于破坏计算机信息系统犯罪案件的文章也指出，该罪的破坏行为主要表现为对系统功能、系统数据和应用程序以及病毒等破坏性程序三类行为，均需要达到“后果严重”。^[6]

（二）从“获取数据”到“干扰系统正常运行”的责任边界

AI Agent进行外部数据抓取时，如果只是普通访问公开网页，即使存在民事争议，通常不宜直接评价为破坏计算机信息系统。但如果Agent采取高频并发访问、自动更换IP、绕过频控机制、大规模请求接口、持续占用服务器带宽和计算资源，导致目标网站、App或接口服务异常甚至不可用，则可能从“获取数据”转化为“干扰系统正常运行”。最高检关于越界爬虫刑事边界的文章明确提到，网络爬虫频繁大规模访问会大量占用服务器带宽和运算能力，严重增加处理负荷，若不加控制持续访问，可能影响正常网络服务甚至导致平台崩溃，进而可能因干扰计算机信息系统正常运行构成破坏计算机信息系统罪。

（三）主观方面：本罪同样要求故意

第286条前三款虽然并非每一款都在条文文字上直接标明“故意”，但其规制对象是删除、修改、增加、干扰系统功能，或者对系统数据、应用程序进行删除、修改、增加等积极破坏行为。结合刑法主客观相统一原则，本罪同样不应作为一般过失犯罪理解。因此，在AI Agent高频访问导致目标系统异常的场景中，仍应审查企业或直接责任人员是否明知该访问方式具有干扰系统正常运行的高度风险，并希望或者放任该结果发生。这里的故意不必然要求企业积极追求系统瘫痪，但至少要求其对系统不能正常运行或数据、应用程序完整性受损的可能结果具有认识，并放任Agent持续运行。

（四）案例启示：系统可用性和数据完整性均可能成为评价重点

破坏计算机信息系统罪的实务评价并不限于网站瘫痪。最高人民法院指导案例102号“付宣豪、黄子超破坏计算机信息系统案”中，被告人实施 DNS 劫持，法院认为其违反国家规定，对计算机信息系统中存储的数据进行修改，后果特别严重，构成破坏计算机信息系统罪。该案提示，刑法第286条评价的不仅是系统是否完全停止运行，也包括系统中数据被不正当修改所导致的完整性和可用性损害。^[7]

最高检第九批指导性案例“李丙龙破坏计算机信息系统案”则涉及域名劫持场景，反映司法机关对于通过技术手段干扰计算机信息系统正常功能的行为保持高度关注。对于AI Agent而言，如果其自动化访问行为不仅获取数据，而且通过异常请求、接口滥用、自动提交、脚本注入等方式影响目标系统功能或数据状态，第286条风险就会显著上升。^[8]

此外，知名刑法学专家张明楷教授在其《破坏计算机信息系统罪的认定》一书中，对第286条第二款的讨论也提示，数据和应用程序的真实性、完整性、可利用性本身具有独立保护价值。即便某些行为未导致系统整体瘫痪，只要对系统中存储、处理或传输的数据、应用程序进行了删除、修改、增加操作并达到后果严重，仍可能进入破坏计算机信息系统罪评价。^[9]

（一）不能以Agent违法结果倒推企业犯罪故意

刑事责任认定首先必须坚持底线：不能因为AI Agent产生违法结果，就当然推定企业或相关人员具有犯罪故意。企业部署AI Agent、使用自动化检索工具、进行合法市场信息收集，本身不具有刑事违法性。如果企业已经限定合法数据来源、禁止绕过技术限制、设置访问频率和异常阻断机制，并且未使用异常来源数据，则不宜仅因Agent个别异常行为而当然入罪。这一点对于鼓励正常数据流通和企业AI应用具有重要意义。若将所有Agent异常结果均转化为企业刑事故意，将过度扩大刑法介入范围，也会使企业难以开展正常的自动化信息检索、合规监测和市场研究。

（二）AI Agent的自主性提高企业对技术路径的注意义务

但另一方面，AI Agent与传统软件工具不同。传统工具通常按照确定指令执行；AI Agent则可能根据任务目标自主规划路径、调用工具、尝试接口、调整策略，并在失败后自动寻找替代路径。企业明知其部署的是具有外部访问、工具调用和自动抓取能力的Agent，就不能只管理任务结果，而完全放弃对技术路径的控制。

这种更高注意义务并不直接等同于犯罪故意，但可以成为判断企业是否“明知风险而放任”的重要事实基础。尤其当企业把Agent用于竞品分析、客户挖掘、平台数据汇总、价格监测等本身容易诱发爬虫风险的场景时，企业应当预见到越权访问、过度抓取和系统干扰的可能性，并设置明确限制。

（三）“未设置限制措施”不能单独替代故意

笔者认为需要特别强调的是：未设置合规措施、未建立风控规则、未进行技术限制，通常首先说明企业存在管理过失或内控缺陷，不能单独替代刑法上的故意。非法获取计算机信息系统数据罪和破坏计算机信息系统罪均不应被解释为一般过失犯罪。

但是，主观明知在实践中往往并非通过口供直接证明，而是通过客观事实综合推定。AI Agent场景下，未设置限制措施的意义在于：当企业已经知道或应当知道Agent具备高风险抓取能力，并且已经出现异常信号时，仍然不限制、不审查、不阻断、不纠正，则“我没有明示要求违法”的抗辩力度会显著下降。

（四）单位责任与员工个人责任的分层认定

还需要进一步区分的是，本文使用“企业刑事责任”这一表述时，并不意味着在任何情形下均可直接按照单位犯罪处理。《刑法》第30条、第31条确立了单位犯罪的一般规则，即公司、企业、事业单位、机关、团体实施的危害社会的行为，只有在法律规定为单位犯罪时，才由单位负刑事责任，并对单位及直接负责的主管人员、其他直接责任人员分别处罚。就本文重点讨论的第285条第2款、第286条而言，现行条文本身并未像第287条之一、第287条之二等网络犯罪条款那样明确设置单位犯罪处罚模式，因此在具体适用中应当避免将“企业合规失控”直接等同于“单位犯罪成立”。^[10]

实践中更稳妥的分析路径是：如果AI Agent的部署、插件接入、数据抓取目标和违法结果利用，系企业管理层决策、业务部门协同推进，并主要服务于企业经营利益，则即便最终追究对象表现为直接负责的主管人员、技术负责人或其他直接责任人员，企业层面的组织性决策、收益归属和合规失控仍会成为判断相关自然人主观明知和放任态度的重要事实背景；反之，如果企业已经建立AI Agent数据获取规范、白名单、日志审计和异常阻断机制，而个别员工为完成KPI私自调用高风险插件、绕过制度限制实施越权抓取，则应当实施责任隔离，重点评价员工个人是否构成犯罪，而不宜以结果倒推企业整体存在犯罪意图。

（五）放任型故意的五项事实基础

笔者建议，在AI Agent越权取数案件中，对于企业或直接责任人员主观故意的判断，可以围绕五项事实基础展开。

第一，能力配置。企业是否选择或部署了具有爬虫、代理池、验证码绕过、接口探测、自动更换IP等能力的Agent或插件。如果企业在Agent技能库中主动加载、采购或开放上述能力，并将其用于竞品分析、平台数据监测、客户挖掘等高风险场景，即便企业没有写明“非法爬取”，也会显著削弱其“不知情”的抗辩。

第二，边界设置。企业是否明确限制数据来源、目标网站、访问频率、接口调用权限和禁止绕过技术保护措施。

第三，异常信号。系统运行过程中是否出现账号封禁、验证码频繁触发、IP被限制、目标网站警告、律师函、异常字段、后台数据、非公开数据等风险提示。

第四，结果利用。企业是否持续将抓取结果用于竞品分析、销售拓客、价格策略、客户转化、数据产品或其他商业获利。

第五，事后处置。企业发现异常后，是立即停用、隔离、删除、通知、整改，还是继续运行、删除日志、隐藏来源、采取技术措施规避禁止。

只有当上述因素形成较强闭环时，才可能由客观事实推定企业对非法获取数据或干扰系统运行持放任态度。简言之，AI Agent场景下的刑事故意，并非由“未管理”本身推定，而是由“高风险能力配置+合法边界缺失+异常信号出现+违法结果利用+未及时阻断”共同支撑。上述五项基础未必需要全部具备，但足以构成完整的企业是否存在主观故意或恶意的证明链条。

（六）企业“没有要求违法爬取”的抗辩何时成立，何时失效

企业抗辩能够成立的典型情形包括：企业明确要求Agent仅访问公开、合法、授权来源；技术上设置白名单、频率限制、禁止绕过验证码和登录验证；对输出报告要求标注数据来源；一旦发现异常数据或访问被限制，立即停止任务并进行核查；企业没有使用可疑数据成果，也保留了完整日志。

企业抗辩可能失效的情形则包括：任务目标本身指向非公开数据或高度敏感商业数据；企业明知Agent具备绕过限制能力仍允许其运行；报告中多次出现明显非公开字段、后台字段、客户个人信息、订单编号等异常内容；对方平台发函、封禁或警告后企业仍持续运行；企业持续使用数据获利，甚至要求技术人员抓取来源。

最高检2025年关于非法获取数据案件的文章中，也强调单纯违反robots协议、仅爬取公开数据不宜入罪，并引导查明行为人是否通过技术手段破解加密数据接口、有无爬取非公开数据等事实。这一办案思路与本文观点一致：刑事评价必须回到访问控制突破、非公开数据获取、危害后果和主观状态等核心事实。^[11]

对企业而言，本文讨论的价值不在于制造恐慌，而在于提醒：AI Agent具有自主规划和工具调用能力，企业不能再把“没有明示违法指令”作为唯一风险防线。真正有效的合规防火墙，应当围绕任务、路径、结果和证据四个层面建立。

第一，任务合法。企业应明确规定AI Agent不得侵入、绕过、破解、规避登录验证、验证码、Token、API校验、反爬机制，不得以异常频率访问目标系统，不得抓取非公开数据、商业秘密或未经授权的个人信息。

第二，路径受控。企业应对Agent可调用的工具、插件、脚本、浏览器自动化能力、代理池、外部API设置权限矩阵；对于外部网站访问，应设置白名单、黑名单、频率限制、并发限制、robots和平台协议遵守规则，并对高风险任务设置人工审批。

第三，结果可查。AI Agent输出报告应标注数据来源、访问时间、抓取方式、是否人工复核。对于来源不明、字段异常、明显来自后台接口或非公开页面的数据，应自动触发人工审查，而不得直接进入经营决策或对外使用。

第四，异常阻断。出现验证码频繁触发、账号封禁、IP限制、访问异常、目标网站警告、律师函、异常字段、非公开数据等信号时，应立即暂停Agent任务，隔离相关数据，启动内部调查，必要时删除违法取得的数据并进行内部问责和纠偏。

第五，证据留存。企业应保存任务指令、系统级提示词（System Prompt）、模型配置、Prompt版本记录、工具调用日志、访问日志、输出版本、人工复核记录、异常处置记录和供应商说明。刑事风险发生后，企业能否证明“任务合法、路径受控、结果未违法利用”，往往直接影响其主观故意和责任边界的判断。

尤其需要强调的是，AI Agent的证据留存不能只保存最终报告，而应当覆盖“指令—计划—工具调用—访问—输出—复核—处置”的完整链路。企业可以在System Prompt、开发者指令或企业级策略中明确写入类似规则：Agent必须遵守robots.txt、平台服务协议和访问频率限制，不得绕过登录、验证码、付费墙、Token校验、API权限或其他访问控制措施；不得获取非公开数据、商业秘密或未经授权的个人信息。相应的Prompt版本控制、策略变更记录、LLM调用日志、Tool-call日志和外部访问日志，应采用权限隔离、哈希校验、集中归档或不可篡改日志机制保存。若系统能够记录Agent外部化的任务规划、工具选择和执行链路，也应作为审计材料留存；但企业不宜将无法稳定取得或涉及模型内部机理的“思维链”作为唯一证据，而应以可验证、可导出、可复核的调用和执行日志作为合规证明基础。

结合笔者长期处理数据合规、个人信息保护和企业数字化治理项目的观察，AI Agent治理的重点不是简单禁止企业使用自动化检索工具，而是把Agent的外部数据获取行为纳入企业授权管理、数据来源审查、技术路径控制和刑事风险留痕体系。对于已经部署Agent的企业，至少应尽快完成一次“外部数据获取场景专项体检”。

AI Agent越权爬取外部数据所引发的刑事责任问题，本质上不是“AI是否犯罪”，而是企业能否通过AI的自主性切断自身对技术路径、数据来源和结果利用的责任。答案显然是否定的。企业部署、授权并从Agent输出中获益，就应对其高风险能力配置和运行边界承担相应治理义务。

但刑法评价也不能走向另一极端。非法获取计算机信息系统数据罪和破坏计算机信息系统罪原则上均要求主观故意。企业仅因部署Agent或仅因Agent发生异常结果，并不当然构成犯罪。真正需要警惕的是：企业明知Agent具有越权取数、绕过限制或干扰系统运行的高度风险，却没有设置合法边界，没有处理异常信号，并持续利用违法抓取成果。此时，企业所谓“没有要求AI违法”的抗辩，就可能被客观事实削弱，甚至转化为放任型故意的认定基础。

未来企业AI治理的核心，不只是管理员工如何使用AI，而是管理AI如何代表企业接触外部系统、获取外部数据并形成经营判断。对于企业而言，AI Agent的合规边界越早被写入制度、权限、System Prompt、插件控制、日志审计和证据链，越有可能在风险发生时证明自身并非违法取数的组织者或放任者，而是已经尽到合理注意义务的技术使用者；同时，也越有利于在员工个人违规调用高风险能力时实现责任隔离。