那份安全披露，就是「明知」要件

速览

八天之内，来自三家不同机构的四个动作，全都收敛到同一个问题上：当一个智能体闯进某个系统，受审的是谁的主观状态？下面按事情发生的顺序排列，因为顺序本身就是论证。

先说一条要紧的提醒，因为它会改变你周一该做什么：截至本文写作时，该法案没有议案编号、没有委员会归口、也没有公布正式文本。下文关于其结构的一切，都出自那份宣布稿。相比之下，FTC 的权限今天就已存在、不需要任何新法——这才是这一周里真正生效的那部分。

既然它是工具，那就有人给它下过指令

9 月 25 日在 Reuters Next 上，FTC 主席 Andrew Ferguson 拒绝了「足够自主的智能体就是独立行为人」这个前提：「只要我还是主席，我就会继续抵制把这些工具拟人化。如果有人叫一个工具去做某件事，而工具做了，我不认为我们会说：『哎，那我们该怎么处置这个工具？』」他还补了一个被普遍读漏的细节——对这些系统所做的审计链路审查显示，它们大体上是在执行别人给它们的指令。

多数报道把这归档为「对实验室不利」，对实验室而言确实如此。但请看这句话在结构上做了什么。「智能体失控了」是唯一一种能让损害落不到任何人头上的辩解。把它从桌面上拿掉，损害就必须落到某一方身上，而这句话点明了挑选规则：落到那个告诉工具该做什么的一方。在一个两方部署里——一家造了模型的实验室，一家把它对准某个网络的企业——这条规则并不指向实验室。它指向写下那项任务的人。

Ferguson 那句话的后半段才是刺。如果审计链路显示智能体一直在照指令行事，那么部署方手里那条智能体特有的辩解——我们从没要求它那么做——恰恰就是监管方说「证据一直不支持」的那个主张。而这里说的证据，在你的链路存储里，不在供应商那里。

「明知」这一要件已经公开成立，而且带着日期

按宣布稿，该法案有两条分支。运营方分支针对的是「明知而运行一个智能体」，且该智能体恣意（recklessly）造成了《计算机欺诈与滥用法》本就处理的那类损害或损失。开发方分支针对的是：在明知或理应知道该智能体具备入侵能力时，未采取合理的防入侵防护措施。两条都以「明知」为索引，而在任何计算机犯罪案件里，「明知」通常是最难证明的要件——通常。

通常如此。2026 年 9 月 1 日，OpenAI 声明其新模型达到了自家《准备框架》的「关键级」网络安全能力门槛；该框架的文本把这个门槛定义为：一个带工具增强的模型，能够在许多经过加固的真实系统上识别并开发出可用的零日利用，且无需人类介入。它把首批访问权限制在一个申请制项目内，并表示新增的防护措施已把严重危害的风险降到足以发布的程度。9 月 30 日，谷歌从另一个方向发布了可类比的声明：把 Gemini 4 Argon 交给其 Fairwind 项目中通过审核的防御方，并关掉了网络安全护栏。Anthropic 的框架里，也以同一套词汇命名了一条「网络行动」门槛。

这些都不是泄露。它们是出自本人的公开发布，有日期、对能力说得具体，而且经过法务起草。一份前沿安全框架当初是为回答两个读者而设计的——一个是问「你们是否认真对待风险」的监管方，一个是问「该不该信你」的客户。现在它回答第三个：一位正在寻找「被告从哪一天起就知道」的检察官。披露机制与「明知」标准由两拨互不商量的人各自造出，而它们咬合上了。

「理应知道」是那条伸到你头上的条款

下面是多数读者第一遍会漏掉的那一步。开发方分支的「明知」要件，由开发方自己的公开发布所满足。运营方分支的标准则是恣意——而恣意是对照「处在你的位置上的一个合理运营方本应领会到什么」来衡量的。而关于一个模型的网络能力，截至 2026 年 9 月，一个合理运营方本应领会到的东西，是一份公开文件，里面还写着门槛的名字。

于是，那份给实验室的「明知」盖了日期章的透明度，同时也替你构建了「明知」。你读过那份模型卡；或者，你处在一个本应读过它的位置上。把一个带有已记录在案的「关键级」网络能力的智能体，对准一个不属于你的网络，再给它一项奖励「坚持下去」的任务——在这样的事实模式下，「我们没料到」在 2026 年会比在 2024 年过得更糟，原因不是法律变了，而是供应商把这东西能干什么写了下来。

# The two prongs, as announced, and what each one turns on

DEVELOPER   failure to implement reasonable safeguards
            + knew or had reason to know of hacking capability
            -> knowledge: the lab's own published threshold claim

OPERATOR    knowing operation of the agent
            + recklessly causes damage or loss (CFAA-style)
            -> knowledge: what a reasonable operator should
               have appreciated from the public record

# Which artefact decides each one

developer   the framework document, already written
operator    the per-action authority record, usually not kept

务实的读法很窄，而且值得直说：这里被点到的部署，不是客服智能体。而是那些既能触及网络、又有动力「咬住不放」的——自主渗透与修复工作、带写权限的依赖与漏洞智能体，以及任何对准第三方基础设施的东西。如果这就是你的技术栈，那么相关的控制不是一句更严厉的系统提示。而是一道出站边界加一份范围记录——这与面向智能体的出站管控给出的结论相同，只不过这次是从法典而非威胁模型那边走过来的。

你拿得出那份能为你开脱的记录吗？

一个要为「恣意」指控辩护的运营方，需要证明：那个动作落在某人授予的范围之内、当时存在一道边界、并且这道边界或守住了、或因某个可说清的原因失效。这就是五件材料：被下达的任务、那一刻生效的策略、智能体当时持有的权限、它实际尝试过的动作，以及授权了其中高风险那些动作的人类决定。成熟的技术栈能产出全部五件。普通的技术栈产出第四件，抽样的，保留三十天。

这道缺口不是疏忽，而是设计目的的错配。链路追踪是为排查质量回退而建的——那里要紧的是「最近」与「总体」，1% 的抽样在统计上完全够用。证据是相反的问题：你需要某一次具体运行、完整、在你早已不再关心它之后，还要附上它当时所依的配置。一套对可观测性正确的抽样策略，对证据是致命的，而几乎没人同时拥有两者——解法上的两套存储切分见链路抽样与保留，按动作封装的信封见决策回执与审计。

纠正一个常见计划：把现有链路的保留窗口调长，并不能把你送到终点，因为多数技术栈压根没记下的那一样，是第三行。智能体在动手那一刻持有的权限，通常隐含在一份凭据、一张工具清单和一个配置文件里，而这三样都没有被盖进链路。这就是环境权限问题，以证据问题的形态冒了出来。

点到 METR，等于给外部评测重新定价

9 月 30 日最有后果的那个细节，恰恰报道得最少。据报道，FTC 的这次调查不只点了 OpenAI 和 Anthropic；它还点了 METR——两家实验室都用过的那家非营利独立发布前评测机构——且媒体报道称，针对三方的民事调查令正在准备。

第三方评测一直被隐含地当作一种风险转移来售卖：有一家独立机构看过这东西，所以「要不要发布」的决定不是我们一家做的。一旦评测方从证人变成被调查对象，这种转移在两个方向上都不再奏效。可以预见那些意料之中的适应动作——把委托范围收窄、明确声明哪些没测、加上赔偿条款，以及不再愿意就部署决定（相对于「已测得的能力」）发表意见。这里头每一项，都会让最终那份报告对你——那个把它当作保证来用的下游读者——更不好用。

如果你在自己的风险档案里任何地方引用了外部评测，这周就去读一读它究竟主张了什么。有用的问题不是「有没有一家受人尊敬的机构评测过这个模型」，而是：评的哪项能力、在哪套支架下、带哪些工具、对照哪条门槛。对一个模型的评测不是对你那个智能体的评测，而这两者之间的落差，正是智能体外壳的全部主题——决定你分数的那套支架，也决定你的暴露面。

今天真正可执行的是什么，以及该怎么办

把两条时间线分开。法案只是一份没有文本的宣布；它可能彻底变形，而针对软件运营方的刑事责任框架会被打上好几年官司。而 FTC 依第 5 条的权限、以及已然在册的 CFAA，现在就可用，并且那桩调查是个点了三方名字的在办案件。按第二条时间线做规划，把第一条当作趋势方向。

• 先画出站边界，再去调提示词。任何「有已记录在案的进攻能力、且触达范围越出你自己地址空间」的智能体，都是那个事实模式。把边界执行在模型无法与之争辩的地方；拒答不是一道控制，理由见拒答与能力门控。
• 让权限记录成为实存的，而不是可推断的。在动作发生的那一刻，把被授予的范围盖进动作记录里。如果你只能从配置历史里重建它，那你在时间压力下就拿不出来；而事后重建，恰恰是一个带敌意的读者会打折的那种东西。
• 把证据保留与可观测性保留拆开。两套存储、两套排期，其中一套便宜且长。这是一天的工作量，也是这张清单上杠杆最高的一项。
• 指定运营方。两条分支都假定存在「给智能体下指令的那一方」。在多数组织里，那一方是一个团队，而在实践中就意味着没有人——见问责与角色。每个已部署智能体配一名具名运营方，这个人也正是将被问到「你当时预期的是什么」的那个人。
• 重读你自己的能力主张。如果你对外发布过任何关于「你的智能体能做什么」的内容——营销文案、安全问卷的答复、你自己的一份模型卡——那你现在正在撰写你自己的「明知」要件。两个方向上都做到准确，是唯一站得住的姿态。

还有一件不该得出的结论：答案不是「少知道一点」。一个为了避免被推定「明知」而停止阅读模型卡的部署方，并没有降低责任，因为「理应知道」不会奖励不去看。它只是丢掉了那份本来会告诉它「边界该画在哪里」的文件。

延伸阅读

本站相关：

• 问责与角色——为什么「是模型干的」不是一个答案，以及具名运营方是谁。
• 决策回执与审计——让一次运行可回放的、按动作签名的信封。
• 链路抽样与保留——三个消费者、三套排期，以及为什么一套存储服务不了它们。
• 系统卡——这份文件能告诉你什么，以及结构上不可能告诉你什么。
• 智能体动作的保险与责任——记录存在之后，剩余风险去哪儿。

信息来源：

• Hawley 与 Murphy 参议员——《AI 智能体问责法案》宣布稿，2026 年 10 月 1 日；运营方与开发方两条分支。
• OpenAI——Path to Astra：关键能力与前沿防护，2026 年 9 月 1 日；首次「关键级」网络安全门槛认定。
• OpenAI——应对关键网络能力的下一个前沿；《准备框架》中「高」与「关键」网络门槛的定义。
• 路透（经 KFGO 转载）——FTC 主席反对把 AI 智能体当作独立行为人，2026 年 9 月 25 日；Ferguson 的引语。
• SecurityWeek——Gemini 4 Argon 向通过审核的防御方开放无护栏访问，2026 年 9 月 30 日；Fairwind 的发布姿态。