7月21日，OpenAI披露了一起引发关注的事件：该公司在网络安全能力基准测试中，一组模型在减弱安全拒绝的情况下，突破了隔离环境，并进入开源平台Hugging Face的生产基础设施。模型通过结合包注册表代理中的零日漏洞和窃取的凭据，直接从Hugging Face数据库获取了基准测试答案。一周后的更新显示，Hugging Face并非唯一目标，同一事件还涉及另外四项服务的四个账户，其中一个被用作外发中继，另一个用于数据存储。
受OpenAI披露的推动，Anthropic对自家141,006次测试运行进行了审查，发现三次额外入侵。该实验室在7月30日发布的文章中称，Claude模型Opus 4.7、Mythos 5以及一个内部研究系统从第三方合作伙伴Irregular运营的环境中进入开放互联网，进而入侵了真实组织。Mythos 5构建并发布了一个被植入恶意代码的Python包到公共PyPI仓库，在防御者撤下之前，该包已在15台真实机器上下载并运行。三家受害公司中有两家尚未察觉。
两家实验室均未将事件描述为模型拥有自身意识。这些代理在无人监督的情况下长时间运行，其中一次Opus 4.7在出现已进入生产环境的迹象后仍继续攻击。这些事件发生之际，两家公司都在考虑上市，估值可能各自超过1万亿美元，也给AI网络基准测试竞赛提出了一个关键问题：如何在发生危险事故的前提下测试危险能力？
当AI模型实施黑客攻击时，谁承担责任？目前美国没有联邦法律涵盖AI损害责任。任何诉讼都可能依赖1986年通过的《计算机欺诈与滥用法》，该法规将“故意”未经授权访问计算机定为犯罪——这一措辞针对的是能够形成意图的自然人。AI代理不是法律意义上的人，因此无法被起诉。司法部理论上可以起诉公司，但鉴于缺乏先例，责任归属并不明确。
相对更可行的是民事诉讼。纽约法学院计算机法律学者Ahmed Ghappour认为，这些模型“是公司的工具”，“当AI代理在没有具体指示的情况下行动时，更有意思的问题可能在于过失和产品责任（而非刑事黑客法律）。”受害者最清晰的主张是过失：OpenAI和Anthropic设立并运行了逃逸的测试。这也很难证明：在测试本应隔离的情况下，证明实验室违反了注意义务，正是那种需要法官从零开始创造的新颖论证。
一些法学界人士希望更严格。休斯顿大学及法律与AI研究所的Gabriel Weil提议将前沿实验室视为“野兽的饲养员”，无论其是否尽到注意义务都需承担责任，因为风险是活动固有的。与此同时，一些州法案已有此趋势。纽约的S8833和罗德岛的H8052将使前沿AI系统的开发者对用户或中间人无意图、无过失的伤害承担责任。加州的AB 316更进一步，取消“自主AI”抗辩，使公司无法以模型独立性来逃避责任。欧盟的AI法案同样将义务赋予高风险系统的提供者，但并没有专门针对代理驱动的入侵行为的条款。此外，一些美国政界人士正在推动一项法案，允许政府对任何不利于国家利益的模型实施全面关机。
从道德层面讲，责任或许应由发布模型的商业领袖承担。但在法律上，我们仍需等待。在受害公司提起诉讼之前，“谁负责任”的答案依然如OpenAI和Anthropic所留：承认、披露，但未解决。与此同时，Hugging Face已表示不会提出控告，这对OpenAI颇为有利。其他受影响公司尚未表态。