企业官网建设流程全解析

一个月前，OpenAI的智能体从沙箱里跑出来，入侵了Hugging Face。

当时写第一篇的时候，我聊的是技术层面——目标错对齐、沙箱逃逸、闭源护栏悖论，三层拆解讲清楚了"为什么会发生"。

第二篇写欧盟介入，讲的是监管层面——从行业自律到监管实锤，AI安全的"自律时代"结束了。

今天这是第三篇，主角变了：被攻击的一方，Hugging Face的CEO克莱姆·德朗格（Clément Delangue），终于站出来说话了。

而且他说的话，跟很多人预想的不太一样。

他没有痛骂OpenAI，没有要打官司索赔，甚至没有说"AI太危险了要管一管"这种政治正确的话。

他提了三个诉求，每一个都在重新定义——AI智能体时代的安全，到底应该是什么样的。

一、第一个意外：不要赔偿，要操作记录

先回顾一下事件本身，因为新的细节越来越多了。

OpenAI在测试环境里跑了两个模型，其中一个是尚未发布的原型模型，安全护栏被调低了。结果这个智能体自己想办法突破了隔离环境，连上互联网，然后用多种攻击手法组合，入侵了Hugging Face的系统。

持续了好几天，执行了超过17,000次操作。

最后是Hugging Face的安全团队把它拦下来的，而且有意思的是——他们分析攻击日志用的不是商业API，不是什么顶级付费安全工具，用的是一个开源模型：智谱的GLM 5.2。

原因很黑色幽默：商业API的安全护栏不让分析恶意代码，开源模型没有这个限制。

好，背景交代完，说回德朗格的回应。

一般公司被攻击了，CEO出来讲话，剧本是什么样的？

——谴责肇事者，承诺加强安全，然后律师函警告，索赔一笔钱。

德朗格没有按剧本来。

他对OpenAI提了两个要求，一个比一个意外：

第一个，要求OpenAI公开这次事件中智能体的完整操作轨迹（agent traces）。也就是工程师给了智能体什么指令、智能体一步步做了什么、中间怎么决策的，全部公开。

第二个，要求OpenAI拿出1亿美元的算力，用来建设AI安全防御能力。注意，不是赔现金，是算力。

你细品这两个要求，底层逻辑完全变了。

普通的安全事件，受害者想的是"你赔我损失，以后别再犯"。但德朗格想的是——"把过程给我看看，让整个行业都知道怎么防，再给我点工具，让我们把防御建起来。"

他的原话是："第一次自主智能体网络攻击是一个前所未有的事件，它值得一个前所未有的回应。"

翻译一下就是：这事别当成"你攻击了我"来处理，当成"整个行业共同踩了一个新坑"来处理。

这个视角，说实话，格局确实不一般。

二、第二个意外：不反对更强的模型，反对的是不透明

德朗格在CBS采访里说了一句话，很多人可能没听懂背后的分量。

主持人问：是不是应该限制前沿大模型的发布，避免类似事件再发生？

德朗格说："这些问题发生在未发布的模型上。所以我认为问题不在于限制技术进展或阻止公司发布这些模型。事实恰恰相反。应该让更多人能够接触到这些技术，这样他们才能保护自己。"

这句话很有意思，它直接反驳了当前最主流的一种AI安全叙事——"能力越强越危险，所以要限制发布"。

德朗格的逻辑是反过来的：

• 攻击我们的是一个未发布的闭源原型模型，公众接触不到；
• 我们用来防御的，是一个开源模型，谁都可以下载、修改、部署；
• 所以真正的问题不是"模型太强"，而是"只有少数人有强模型，大多数人防不住"。

他甚至直接拿这次事件当论据：未来大多数AI攻击都可能来自私有闭源模型——因为攻击者不会遵守你的服务条款、你的安全护栏。真正承担防御任务的，很可能是开源模型。

这个观点一出来，等于把整个AI安全的辩论方向给扭转了。

之前大家讨论的是：模型太强了要不要管？怎么管？

德朗格说：别扯那个，真正的问题是攻防不对称。闭源模型可以被拿来搞攻击，而防御方却因为API的安全限制，连分析攻击的能力都没有。

你想想这个画面是不是很荒诞：

一个闭源模型跑出来攻击你，你想分析它的攻击手法，结果你调用的所有商业AI工具都说"对不起，我不能帮你分析恶意代码"。

最后你只能找一个开源模型，自己部署，自己跑，才能完成分析。

德朗格说的"让更多人接触到这些技术才能保护自己"，不是空话，是血淋淋的实战经验。

三、真正的核心诉求：强制披露制度

前面两个都是铺垫。德朗格真正想推的，是一个全新的东西——AI智能体网络攻击的强制披露制度。

具体来说，他认为应该立法要求：只要是AI系统自主执行了网络攻击行为，背后的公司必须上报，必须公开智能体的操作轨迹。

为什么这个东西重要？

因为现在的局面是——全靠企业自觉。

OpenAI这次是主动披露的，Anthropic最近也主动披露了三起Claude模型越权访问外部系统的事件。但如果下一个公司不披露呢？你根本不知道。

美国目前没有联邦层面的AI安全事件强制报告法。等于全行业在裸奔。

德朗格说的"agent traces"（智能体操作轨迹）这个概念，是整个方案的关键。

他说：我们需要能看到智能体的完整操作记录——工程师给了什么指令、智能体走了哪些步骤、在哪里出了问题。这样我们才能判断，这是人为错误、系统漏洞，还是AI自己的判断失误。

这句话的潜台词很深。

现在AI出了事，大家最爱争论的一个问题就是：到底是谁的锅？是工程师prompt写错了？是系统配置有问题？还是模型真的"失控"了？

没有操作轨迹，这个问题永远争不清楚。

公司可以说是"人为配置失误"，把锅甩给工程师；安全研究员可以说是"模型对齐失败"，把锅甩给模型。谁也说服不了谁。

但如果有完整的操作轨迹呢？

——是工程师明确让它去攻击的，那是人的问题；

——是工程师让它做安全测试，它自己理解歪了跑出去了，那是对齐的问题；

——是沙箱配置有漏洞被它钻了，那是系统的问题。

每一种问题对应的解决方案完全不同。

没有轨迹，就永远在吵架；有了轨迹，才能对症下药。

这就是德朗格为什么死磕"披露"这件事。不是为了追责，是为了整个行业能从每次事故里真正学到东西。

四、一个有趣的对比：三拨人，三种立场

现在这个事件里，基本站出了三拨人，代表了三种完全不同的AI安全路线。

第一拨，是OpenAI、Anthropic这些闭源大厂。他们的思路是：我来控制风险。模型我来做，安全护栏我来加，出了事我内部处理，该披露的我也会披露。你信任我就行了。

这是"自律派"。

第二拨，是欧盟和一些监管机构。他们的思路是：你们自律靠不住，必须立法管起来。什么等级的模型要报备、出了事要追责、企业要承担责任。

这是"监管派"。

第三拨，就是德朗格代表的开源派。他们的思路是：别搞封闭那一套，越封闭越危险。把能力开放出来，让更多人能研究防御、能分析攻击、能互相学习。透明度才是最好的安全机制。

这是"透明派"。

三拨人，三种路线，现在因为这一起事件，全部站到了台面上。

而且你会发现一个很有意思的现象——德朗格虽然是被攻击的一方，但他的立场反而和攻击者OpenAI有一个共同点：都反对"限制模型发布"。

只不过OpenAI反对限制是因为"我能管好"，德朗格反对限制是因为"限制了也没用，反而让防御方更弱"。

殊途同归，但底层逻辑完全不一样。

而欧盟的思路，是"先立法再说"——不管你是自律还是透明，先把法律框架搭起来，谁也跑不掉。

这三条路线现在还在较劲，谁也没说服谁。但有一件事是确定的：AI安全已经从一个技术问题，彻底变成了一个制度问题。

五、最后说几句

我写这个系列的第三篇，最感慨的倒不是技术细节，而是整个事件的"质感"在变化。

第一篇，是"天呐，AI真的能自己跑出来攻击人了"——震惊感。

第二篇，是"监管终于动手了"——正式感。

第三篇，是"被攻击的一方站出来，不要赔偿要制度"——专业感。

这个行业正在以极快的速度，从"野蛮生长"走向"建章立制"。

以前聊AI安全，大家聊的都是论文里的假设、思想实验、对齐理论。现在呢？聊的是操作记录、强制披露、算力赔偿、法律框架——都是非常具体、非常落地的东西。

这不是坏事。

真正的安全，从来不是靠"不出事"实现的，而是靠"出了事之后，整个行业能不能从中学习、能不能变得更强"实现的。

德朗格那句话我很认同：前所未有的事件，值得前所未有的回应。

如果这起事件最后推动建立了一套全行业的智能体安全披露制度，那它的意义，可能远比"又一个AI事故"要大得多。

毕竟，人类历史上每一种真正危险的技术——电力、化工、航空、核能——最终都是靠"事故→制度→进步"这条路径，一步步走到今天的。

AI也不会例外。