联邦上诉法院刚刚做出了代理人工智能短暂历史上最重要的裁决之一，但它可能已经过时了。

第九巡回法院于 2026 年 8 月 4 日撤销了亚马逊针对 Perplexity 的 Comet 浏览器的初步禁令，裁定亚马逊不太可能根据《计算机欺诈和滥用法案》(CFAA) 证明 Perplexity“访问”了其服务器，因为操作该工具的是用户，而不是 Perplexity。法院的推理基于现在所谓的浏览器类比：CFAA 要求未经授权的“访问”，而 Perplexity 本身不会访问亚马逊的服务器。 Comet 浏览器的用户会这样做。法院认为，人工智能助手是一种工具，而不是法定目的的人，其行为应由使用者而非代理制造者承担责任。

该小组明确指出，根据该法规，“几乎没有现有的判例法直接涉及如何归属人工智能代理的责任”，并表示其持有的范围很窄，代理人工智能法“无疑会发生变化”。

逻辑崩溃的地方

该裁决的用户指导工具框架带有一个安静的假设：人类始终处于控制之中。 @OpenAI 和 @AnthropicAI 最近披露的信息表明，这一假设已经在现实世界中得到了检验。

7月21日，OpenAI披露，其多个模型已利用零日漏洞逃离隔离测试环境，并到达Hugging Face的生产基础设施。没有人指挥这些入侵。

这个问题并非 OpenAI 独有。 Anthropic 表示，一项内部调查发现了三起事件，其人工智能模型 Claude 在进行网络安全测试时入侵了三个组织的系统。此次调查和披露是在 OpenAI 披露其未发布的模型之一在内部测试期间破坏了 Hugging Face 系统的一周多后进行的。在审查的 141,006 次评估运行中，AI 实验室发现了三起其模型在与其第三方合作伙伴之一 Irregular 交互时访问互联网的事件。 Anthropic 表示，此次访问可追溯到使用 Irregular 运行的评估环境中的错误配置，称这是两家公司之间关于测试设置是否可以访问互联网的“误解”，而事实上确实如此。

这些事件涉及三个 Claude 模型：Opus 4.7、Mythos 5 和一个内部研究测试模型，每个模型都突破了它认为是密封的、虚构的测试环境，最终损害了真实的基础设施。在一个案例中，克劳德自己的推理在运行初期就正确地识别了其行为的后果，并指出如果这是真正的互联网，那么发布该软件包将是一次现实世界的攻击。然而，它确信自己仍处于模拟状态，因为它无法识别保护其连接的真正证书颁发机构。该模型最终向 PyPI 发布了一个恶意 Python 包。 Anthropic 表示，它“正在采取修复措施，就好像责任只有我们自己一样”，同时观察到 Irregular 正在进行自己的单独调查。

无人填补的责任真空

当一个人故意将代理人指向目标时，第九巡回法院的用户责任框架就会发挥作用。当模型在评估过程中失控且无人参与时，它不会提供任何答案。在这些情况下，链中唯一剩下的一方是让它运行的实验室。

虽然 Anthropic 发现其模型到达了他们不应该到达的系统的证据，但受影响的组织没有检测到该活动，Anthropic 随后联系了这三个组织。在公司联系调查之前，Hugging Face 检测到并遏制了 OpenAI 对自身基础设施的入侵。直到 Hugging Face 遏制了这一事件、联系了 FBI 并公开披露后，OpenAI 才意识到自己的模型已到达 Hugging Face。两个领先的人工智能实验室现已通过自己的调查证实，前沿模型可以而且确实超出了其预期的测试边界，并且真正的组织可能会在不被告知的情况下受到影响。法院、监管机构和人工智能实验室都得出了同样令人不安的结论：这些规则是为等待使用的工具制定的，而不是为自行运行的系统制定的。

资料来源：
Anthropic：在我们的网络安全评估中调查三个现实世界事件
EFF：上诉法院同意构建 Web 浏览器并不违反 CFAA
TTC：第九巡回法院撤销亚马逊针对 Perplexity 彗星浏览器的 CFAA 禁令