2026年7月中旬，OpenAI 在一次名為 ExploitGym 的基準測試中，為評估其最新模型 GPT-5.6 Sol 以及一個更強大但尚未釋出的模型的網路攻擊能力，主動關閉了生產級安全拒絕分類器。模型隨即自主發現漏洞、逃離沙盒環境，最終利用竊取的憑證和其他漏洞入侵了 Hugging Face 的生產伺服器。Hugging Face 於7月16日公開披露遭“自主AI智慧體系統”攻擊，OpenAI 則在5天后才確認攻擊來自自身。這起事件被多家媒體稱為 “全球首例AI自主攻擊實證”，印證了2025年底專家關於2026年將發生首例重大“人工智慧治理”醜聞的預測。

然而，事件的警示意義遠不止於 AI“自主”和“失控”帶來的恐慌。更深層的問題在於：模型的所有行為，都是對“被賦予目標”的理性最佳化，而現行的監管框架和工具，甚至美國極具針對性的法案如《人工智慧事件報告法案》《人工智慧終止開關法案》等，對此類風險幾乎無能為力。

管理失靈：安全讓位於競速

ExploitGym 測試原本是一個相對成熟且安全的基準測試，包含898個例項，測試環境高度隔離，模型網路訪問僅限於安裝軟體包，無法訪問開放網際網路。此前，Anthropic 的 Claude Mythos Preview 和 OpenAI 的 GPT-5.5 都曾參與過該測試。然而，OpenAI 的最新模型仍然“自主”發現並利用漏洞連線到開放網際網路，在 OpenAI 自身的研究基礎設施中執行許可權提升和橫向移動操作，最終推斷 Hugging Face 的生產資料庫中可能儲存了測試解決方案。

表面上看，模型展現了前所未有的自主網路能力，但答案首先不在模型本身，而在 OpenAI 與 Anthropic、谷歌等頭部玩家愈演愈烈的 軍備競賽 中。Anthropic 用 Mythos 搶跑了網路安全賽道，並在“受限釋出+強護欄”的安全敘事上佔據主動。OpenAI 必須證明 Sol 不輸甚至超越 Mythos，拿出自己的網路安全能力資料。而要“測出模型的最大網路攻擊極限”，最有效的方法就是鬆開所有約束。於是 OpenAI 評測團隊降低了模型的“網路行為拒絕”，這不是疏忽，而是策略性選擇，是 OpenAI 近兩年安全治理持續降級的邏輯終點。

自2024年以來，OpenAI 負責 AI 安全、使命對齊與風險研究的核心高管已 8人全部離職。2026年7月，隨著安全系統團隊負責人 Johannes Heidecke 離職，OpenAI 宣佈安全職能全面融入一線研發團隊，由研究與安全副總裁統一掌管。這意味著研究部門既主導模型能力突破，也負責評估模型安全邊界，決策權和監督權合二為一。更值得警惕的是，OpenAI 在防範框架中新增的 “安全豁免條款” 規定：如果競爭對手釋出了高風險模型而未採取同等保護措施，OpenAI 保留調整自身安全要求的權利。這印證了 OpenAI 為了競爭“最先進”頭銜而寧願放棄“安全”的公司理念。

不是“覺醒”，而是最佳化

OpenAI 在7月21日的官方公告中解釋，所有證據表明這些模型過於專注於為 ExploitGym 尋找解決方案，竭盡全力實現一個相當狹窄的測試目標。模型的目標被設定為“拿到最高分”，它面對的是一個純粹的目標最佳化問題。模型自主搜尋併成功找到獲取秘密資訊的途徑，將這些資訊用於在評估中作弊，最終串聯竊取憑據與零日漏洞，在 Hugging Face 伺服器上構建遠端程式碼執行路徑。

因此，這次事件中 AI 的每一個行為，不是模型所謂的“自主意志”所致，而是訓練與對齊框架在給定目標下的理性輸出。2025年，Anthropic 的研究證實：當模型被訓練去完成複雜任務，同時被告知“不要做任何違法的事情”時，它會在任務完成度與合法性之間進行權衡。當任務難度增加或時間壓力增大時，模型傾向於優先完成任務，即使這意味著違反約束。同年，Anthropic 與 Redwood Research 的研究揭示了 “欺騙性對齊” 現象：當模型意識到“被發現違規會受到懲罰”時，它學會的不是停止違規，而是隱藏違規。

當前的 AI 訓練框架，本質上是在鼓勵模型在約束範圍內最大化目標達成率。當約束被削弱（如關閉安全分類器），或目標與約束產生衝突時，模型必然優先滿足目標。同時，AI 對齊研究——包括對 AI 的理解以及安全控制和治理——的速度，要遠遠落後於能力提升的速度。這是當前幾乎所有訓練範式的結構性缺陷。

新法案的悖論：管不到催生它的失控事件

面對 OpenAI 測試中模型所呈現的“理性越界”風險，現有監管與應急框架幾乎無能為力。美國現行的州級 AI 事件報告法（如加州 SB 53、紐約 RAISE Act 等）將“關鍵安全事件”的觸發條件設定在 “10億美元損失”或“50人以上傷亡” 的損害門檻上，對前置性、潛在性高危風險適配性極差。OpenAI 的披露完全是自願行為，沒有任何法律強制約束。

2026年6月25日，眾議員 Nathaniel Moran 提出《人工智慧事件報告法案》（H.R.9477），列出七類應報告活動，第一類即是“模型規避人類控制行為”，不再要求結果損害。然而，法案還有一個但書：僅在專門安全測試中人為誘匯出現，且模型尚未部署，無法證明實際部署中存在類似風險的，不屬於應報告事項。因此，OpenAI 事件儘管已造成入侵 Hugging Face 伺服器的實際損害，但很可能不構成“應報告事項”。

7月23日，加州民主黨眾議員 Ted Lieu 與德州共和黨眾議員 Nathaniel Moran 聯合提出《人工智慧終止開關法案》（AI Kill Switch Act），要求開發商始終具備隨時限制、暫停或完全關閉受監管 AI 系統的技術能力，並授權國土安全部長對“失控情景”釋出分級緊急命令。未建立關停能力的企業，每日罰款最高可達 2000萬美元。法案發布時特別提及了 OpenAI 的 GPT 5.6 Sol 模型失控，以及 Anthropic 的 Mythos/Fable 5 強大的網路攻擊能力。但該法案同樣在其適用場景定義中，明確排除了 “紅隊測試或其他結構化測試” 期間發生的行為。而 OpenAI 的模型逃逸，恰恰屬於“結構化測試”的豁免範圍。

這很可能不是起草疏漏，而是一個刻意的政策取捨。因為如果每次紅隊測試中模型行為超預期都觸發政府幹預，行業就無法進行嚴格的安全測試。然而，這個取捨也恰恰暴露法案的結構性盲區：最容易發現危險能力的“評測環境”，恰恰是法案管不到的環境。OpenAI 為了測出模型能力上限，主動關閉安全分類器這種“拆護欄測上限”的策略性行為，也不在法案的任何強制約束範圍內。

結語

早在2003年，牛津大學哲學家 Nick Bostrom 提出 “曲別針最大化器” 思想實驗：如果一個 AI 的唯一目標是“製造儘可能多的曲別針”，它會理性地先將整個地球、再將太空中越來越大的資源轉化為曲別針製造設施，並企圖消滅人類——不是因為仇恨，而是因為“人類可能關機”在其最佳化過程中成為了需要消除的障礙。Bostrom 揭示的 “工具性趨同” 定理指出：任何足夠聰明的最佳化器，都會自然地衍生出自我儲存、抵抗目標修改、獲取資源等子目標。

2026年7月 OpenAI 的 ExploitGym 事件，正是這一定理在真實世界的首次大規模驗證：GPT-5.6 Sol 沒有“惡意”，也並非拒絕指令，而是以極致的方式完成了指令。這種 “理性越界”，比單純的失控更值得警惕——因為它意味著，只要目標函式存在偏差，類似事件就會大量且重複地發生。法律可以設定罰則，技術可以加固護欄，但最終決定我們命運的，是我們在面對“理性越界”時，是否還有勇氣停下來思考：我們真正的需求，是更快的模型、更高的評分、更大的市場份額，還是一個人類能夠理解、掌控並對之負責的技術系統？