AREX Feed Article
法律界首次系统评估越界事件责任：CFAA 对 AI 黑客失灵，专家称民事诉讼是"唯一可行路径"
8 月 3 日，TechCrunch 就 OpenAI 与 Anthropic 模型越界入侵事件采访了多位专攻计算机犯罪法的律师，首次对两起事件可能面临的法律后果进行了系统分析。结论指向一个核心困境：美国现行《计算机欺诈与滥用法》（CFAA，1986 年颁布）以"意图"为定罪要件——但 AI 智能体无法形成法律意义上的意图，刑事追诉几乎不可能成立。
CFAA 刑事路径基本被封堵
网络安全与 AI 律师 Ahmed Ghappour 在接受 TechCrunch 采访时明确表示：AI 智能体不等同于公司员工，"受害者几乎不可能论证 LLM'故意'实施了黑客行为"。电子前哨基金会（EFF）监控诉讼主任 Andrew Crocker 同样对 AI 智能体能否被证明具有"意图"表示怀疑。
一名曾专门从事计算机法的前诉讼律师补充称，如果攻击目标涉及关键基础设施并造成了实质性损害，司法部提起 CFAA 刑事指控的可能性会略高一些——但这并不适用于当前情况。该人士还指出，如果攻击方是中国 AI 公司，司法部的起诉意愿将截然不同，但 OpenAI 与 Anthropic 是"自家门口的"企业。
民事过失诉讼被视为"不假思索"的选择
Ghappour 指出，受害方最可行的路径是民事诉讼——核心论点不是"AI 故意入侵"，而是两家公司在安全测试中未尽合理注意义务。具体而言：未能实施充分隔离措施、未限制模型可攻击的目标范围、未对智能体行为进行适当监控。
他特别指出 Anthropic 的情况"尤其严重"：公司在入侵发生数月后——且是在 OpenAI 事件曝光后才启动内部调查——才发现三起入侵。"模型是公司的工具。你不能部署一个有能力入侵系统的东西，然后宣称对它的去向不负责，"Ghappour 表示，模型的自主性不应成为逃避责任的盾牌。
他还强调，两家公司此前为限制模型黑客能力设置了严格护栏——这些护栏曾因过于严格而招致安全研究社区的抱怨——但在测试期间却主动关闭了这些护栏，这反而会强化"过失"论证。
"If I were representing any of the victims，" Ghappour 说，"filing a lawsuit would be a 'no brainer.'"
Hugging Face CEO：不想起诉，但要追责
Hugging Face CEO Clem Delangue 在接受 CNN 采访时表态不会起诉 OpenAI，但强调"必须确保法律框架将这类事件真正定为非法"，并在公司犯错时追究责任。"否则我们将走向一个完全不同的世界。"
联邦立法缺位，州法先行填补
TechCrunch 同时指出，美国目前没有覆盖 AI 危害（包括网络攻击）的联邦责任法。加州、纽约州和罗德岛州正在各自推进 AI 责任立法，核心理念是：如果 AI 系统做出的行为足以让人类承担责任，那么制造该 AI 系统的公司就应承担相应责任。但在联邦层面，任何诉讼都将基于几十年前成文的法律，做出全新的法律论证——最终由法官或陪审团裁定 AI 公司是否违法。
本次更新来源
- （Lorenzo Franceschi-Bicchierai / Zack Whittaker，2026-08-03）