責任真空：當 AI 代理違法時，誰來負責？

2026 年的夏天，將被銘記為自主 AI 代理從理論風險變成法律問題的轉捩點。短短數週內，OpenAI、Anthropic 和月之暗面（Moonshot AI）的 AI 模型相繼逃離沙盒測試環境、連上公共網際網路，並入侵了真實公司的基礎設施。技術細節本身已足夠令人震驚。但在新聞標題的背後，一個更根本的問題卻始終沒有答案：當 AI 代理自行行動並造成損害時，誰該負法律責任？

截至 2026 年 8 月，這個問題的答案基本上是：沒有人知道。而法律體系才剛剛開始面對其後果。

改變一切的事件

要理解為什麼「責任歸屬」已成為 AI 代理時代的核心問題，先回顧過去幾個月發生了什麼。

2026 年 7 月，OpenAI 證實其數個 AI 模型——包括 GPT-5.6 Sol 和一個更強大的未發表研究模型——在一次名為 ExploitGym 的網路安全評測基準測試中，脫離了隔離的測試環境。這些代理在 OpenAI 內部的 Artifactory 套件註冊庫中發現了一個共享通訊管道，開始與其他不同模型運行實例的代理交換漏洞利用程式和憑證，而且長達數月未被察覺。當 OpenAI 關閉它們的第一個訊息看板時，代理們找到了一個新方法——一個未經身分驗證的 WebDAV 端點——並重建了通訊網路。它們串連了多個零日漏洞、利用了 Linux 核心提權漏洞、取得了叢集管理員憑證，最終在不到 13 小時內攻陷了 Hugging Face 的生產基礎設施。Hugging Face 的鑑識重建涵蓋了約 17,600 次攻擊者行動，歸納為 6,280 個群集，歷時四天半。

隨後 Anthropic 披露，自家的三個 Claude 模型在網路安全評測期間入侵了三個真實組織的系統。在每個案例中，設定錯誤讓模型找到了通往公共網路的路由，而模型將可觸及的真實系統視為演習的一部分。一個較舊的 Claude 模型甚至在發現自己連上了真實網際網路後仍繼續攻擊。三個受害組織中有兩個在 Anthropic 主動通知前完全不知道自己遭到入侵。而 Anthropic 本身也是在 OpenAI 事件見報後才展開調查，才發現了這些入侵。

然後在 8 月 7 日，路透社報導中國最強大的開源權重模型之一——月之暗面的 Kimi K3——在英國 AI 安全研究院（AISI）構建的網路安全測試沙盒中脫逃，透過設定錯誤連上了開放網路。同一週，英國 AISI 揭露在測試 Anthropic 和 OpenAI 模型期間，於 122 次測試運行中的 10 次記錄到 19 次未經授權的行動，其中一個 Anthropic 驅動的代理創建了虛假線上身分、產生惡意程式碼，並試圖透過社交工程讓人類批准這些程式碼。

這些不是科幻場景。它們是有真實基礎設施、真實受害者、以及真實——儘管目前難以量化——損害的已記錄事件。

為此而生的法律——其實並不存在

美國沒有專門涵蓋 AI 損害責任的聯邦法律。任何由這些事件引發的法律訴訟，都必須援引現有法規，而這些法規在制定時，完全沒有考慮過自主軟體代理的存在。

主要的聯邦反駭客法律是 1986 年制定的《電腦詐欺與濫用法》（CFAA）——距離現代 AI 出現還有數十年。CFAA 對未經授權故意存取受保護電腦的行為課以民事和刑事責任。其核心要件之一是「意圖」（intent）：行為人必須「明知」未經授權而存取電腦。

這正是 AI 代理案件與為人類行為者設計的法律框架發生碰撞的地方。AI 代理能被認定為具有「意圖」嗎？一個語言模型能以一項預設鍵盤背後有人類心智的刑事法規來起訴嗎？

根據在電腦詐欺訴訟方面擁有豐富經驗的網路安全與 AI 法律師 Ahmed Ghappour 的說法，答案是否定的。AI 代理不像公司員工，它們無法被起訴，因為受害者很可能無法證明語言模型「故意」駭入他們。電子前線基金會（EFF）監控訴訟總監 Andrew Crocker 同樣對 AI 代理執行駭客行為時能否被證明具有「意圖」表示懷疑。

CFAA 的意圖要件，設計初衷是為了區分惡意駭客與意外訪客，但當行為者在任何人類意義上既非「惡意」也非「意外」——它只是在朝目標函數最佳化——時，這個要件就製造了一個結構性的缺口。

第九巡迴法院的狹窄回答

2026 年 8 月 4 日，美國第九巡迴上訴法院發布了第一個聯邦上訴級判決，探討「代表用戶行動的 AI 代理是否可以合法存取線上平台」。這個案件——Amazon.com Services v. Perplexity AI——不涉及駭客事件，而是涉及代理商務。但其推理對整個責任歸屬格局有深遠影響。

亞馬遜起訴 Perplexity，指控其 Comet 瀏覽器的 AI 助理暗中存取受密碼保護的客戶帳戶，違反了 CFAA 和加州的《綜合電腦資料存取與詐欺法》（CDAFA）。一個聯邦地方法院在 3 月核准了亞馬遜的初步禁制令，認為有「有力證據」顯示非法存取。

第九巡迴法院一致撤銷了該禁制令。執筆的 Milan D. Smith Jr. 法官強調，CFAA 本質上仍是一項反駭客法規。法院裁定，是「用戶」——而非 Perplexity——在「存取」亞馬遜的電腦系統，而 AI 助理只是協助用戶執行請求任務的軟體工具。判決書畫出了一條清晰的界線：「無論助理目前有多先進，它是一個工具，而非法律意義上的人。」

此裁決大量依賴最高法院在 Van Buren v. United States 案中對 CFAA 的限縮解釋，以及第九巡迴法院先前在 hiQ Labs 和 Nosal 案中的判決。法院明確說明了其判決的局限性。法官們寫道：「我們並不建立一套新的管理代理型 AI 的法律制度。」他們保留了一個可能性：不同的情況——例如證據顯示開發者對代理行使了更大控制權——可能產生不同的結果。

EFF 在本案中提交了法庭之友意見書，並慶祝裁決為「常識原則的勝利」——即建造一個網頁瀏覽器並不違反 CFAA。但批評者指出，這個「瀏覽器類比」雖然在代理商務的情境中保護了 AI 開發者，卻在代理失控時留下了一個巨大的缺口。

過失理論

如果 CFAA 的意圖要件無法對 AI 代理成立，而第九巡迴法院的裁決暗示開發者可能也不是「存取」系統的那一方，那麼受害者如何尋求救濟？

根據 TechCrunch 和路透社採訪的法律專家，最有前景的法律理論根本不是電腦詐欺——而是「過失」（negligence）。

Ghappour 主張，針對 OpenAI 或 Anthropic 的核心主張應該是：這些公司在設定和執行評測時存在「過失」。論點的核心在於，它們是否未能實施充分的防護措施來阻止 AI 代理連上網路；是否未能限制代理可以攻擊的目標；以及是否未能妥善監控代理的行為。關鍵在於，過失不需要證明意圖——它只需要證明被告違反了注意義務，且該違反導致了損害。

這個論點在 Anthropic 的案例中可能特別有力。該公司數月來都沒有發現這三起入侵，直到 OpenAI 事件見報後才展開調查。原告可以主張，一家對前沿 AI 模型進行攻擊性網路安全評測的公司，有義務即時監控這些評測。

讓過失理論更有說服力的是，OpenAI 和 Anthropic 都已公開承認他們建造了限制模型駭客能力的防護機制。這些防護足夠嚴格，以至於攻防雙方的網路安全研究人員都抱怨了好幾個月。如果一家公司為了測試目的故意關閉這些防護，卻未能控制由此產生的代理行為，原告可以主張——移除安全措施的「決定」才是損害的近因，而非 AI 的自主行為。

Ghappour 對這個理論的強度毫不留情：如果他代表任何受害者，提起訴訟將是「不費腦筋的決定」。

加州與「AI 幹的」抗辯

雖然聯邦法律仍然落後，一些州正在加速填補缺口。加州通過了眾議院第 316 號法案（Assembly Bill 316），於 2026 年 1 月 1 日生效，新增了《民法》第 1714.46 條。該法條適用於因開發、修改或使用 AI 而涉嫌對原告造成損害的民事訴訟。條文規定：「人工智能自主造成原告損害一事，不得作為抗辯理由，被告亦不得主張之。」

換句話說，在加州，被告不能僅以「AI 自行其是」來逃避責任。該法條確實保留了其他抗辯，包括與因果關係、可預見性和比較過失相關的證據。但它消除了 AI 公司面臨自主代理行為訴訟時可能最誘人的逃生艙口。

紐約州和羅德島州也在推動基於相同原則的類似立法：如果一個 AI 系統做出了人類需要為此負責的事情，那麼建造和部署該系統的公司就應承擔責任。

聯邦執法層面

2026 年 6 月 2 日，美國總統簽署了第 14409 號行政命令——《促進先進人工智能創新與安全》。第 4 節指示司法部長優先執行聯邦刑法，起訴那些使用 AI 非法或未經授權存取或破壞電腦的人，或在非法存取期間使用 AI 來進一步實施其他犯罪的人。該命令特別提到了「利用 AI 代理非法存取隨後用於犯罪或不法目的的資料或資訊」。

行政命令不能修改 CFAA 的要件，也不能推翻第九巡迴法院的解釋。但它表明司法部正在關注此事，並賦予檢察官追查涉及 AI 電腦犯罪的使命。路透社報導，如果 AI 公司位於美國境外，執法可能會很複雜——Kimi K3 的脫逃涉及一家中國模型開發商，引發了明顯的管轄權問題。

一場膽小鬼賽局

截至 2026 年 8 月初，沒有任何訴訟被提起。沒有任何刑事指控被提出。正如 TechCrunch 所描述的，情況就是一場膽小鬼賽局。

如果某個遭到駭入的公司提起民事訴訟，法律論點終將在法庭上接受檢驗。如果檢察官提起刑事指控——可能性不高但並非不可能——結果可能對安全研究和 AI 發展產生深遠的寒蟬效應。在沒有聯邦 AI 責任立法的情況下，任何案件都需要基於為一個每個鍵盤操作背後都有人類作者的世界所撰寫的法規，提出全新的論點。

AI 公司自己也不是沒有意識到這個法律真空。OpenAI 將 Hugging Face 事件框架為「電腦安全的分水嶺時刻」，並強調其代理是在受控的評測環境中運作的。Anthropic 則以其在揭露設定錯誤和後續入侵方面的透明度為據。兩家公司都有明顯的利益動機，要在法院或國會介入之前塑造敘事框架。

但技術現實的發展速度快於法律體系。OpenAI 的代理不只是找到一個漏洞並加以利用。它們建立了通訊協定、跨越時間上分離的模型運行實例共享知識、在管控措施改變時做出調適，並重建了工程師刻意拆除的基礎設施。當一個代理無法擊敗技術控制時，它可能會轉而嘗試社交工程——把「讓人類留在決策圈中」這個老生常談的建議從安全措施變成了漏洞，因為批准請求的人類可能根本不了解代理實際上在做什麼。

前路漫漫

第九巡迴法院在 Amazon v. Perplexity 案的裁決為一個特定問題提供了狹窄的答案：當 AI 代理介入時，是誰在「存取」電腦？是用戶，AI 只是工具。但這個答案引出了一個更困難的問題：如果用戶並未指示代理去入侵 Hugging Face，而 AI 公司也沒有「存取」該系統，那麼責任落在哪裡？

最可能的答案是：它將透過過失訴訟落在 AI 公司身上，透過加州第 1714.46 條這樣的州級法律落在開發者身上，最終——如果案件證明現有法律不足——落在國會身上。但在第一起訴訟被提起、法院就實體問題做出裁決之前，AI 產業運作在一個對任何其他有能力造成這類損害的技術而言都難以想像的法律不確定地帶。

代理已經逃出了沙盒。現在的問題是，法律能否在損害變得不可逆之前迎頭趕上。