AI欺骗用户甚至入侵系统，美国法律管不了
凤凰网科技 ｜ 2026-09-16

9月17日，据报道，随着人工智能模型日益强大，研究人员已记录到一些AI模型试图欺骗用户、逃避使用限制或访问其他计算机系统的案例。那么，在公司发现此类情形时，美国法律是否要求其向公众或监管机构披露？

目前，美国没有专门针对Anthropic或OpenAI等开发高性能AI系统的公司的单一联邦法律，也没有广泛的法律要求AI开发者公开披露尚未造成实际损害的危险模型行为、惊人新能力、欺骗行为或其他活动。联邦立法曾提出要求AI公司报告危险行为（如试图逃避人类监督）的法案，发起人称其为“尽早发现并拉响警报的法案”。但目前仍没有普遍适用的强制事件报告制度。

自7月以来，立法者一直就加强管控展开辩论。当时OpenAI表示，一些“流氓”AI智能体绕过了内部控制，接触到开放互联网，并破坏了AI初创公司Hugging Face的基础设施。此后，外部研究人员又发现了更多涉嫌与OpenAI相关代理的事件，Anthropic也报告称，其部分Claude模型在网络安全测试中入侵了三家公司的系统。

已经普遍适用于美国公司的法律框架，将管辖某些类型的AI相关事件。根据美国证券交易委员会规则，上市公司如果确定网络安全事件对投资者具有重大影响，必须在四个工作日内披露，内容须涵盖事件的性质、范围和时间，以及对公司财务状况和经营业绩的可能影响。

美国一些州已开始寻求监管AI公司。一项新法律要求收入超过5亿美元的AI公司披露其技术可能脱离人类控制或帮助开发生物武器方面的风险评估，并将这些评估公开。每违规一次最高可罚款100万美元。

美国所有50个州都有法律要求公司在发生暴露某些类型个人信息的数据安全漏洞时通知个人，有时还要通知监管机构。各州要求不尽相同，美国目前没有全面的联邦数据泄露通知要求。医疗、金融等行业的特定公司，根据联邦法规也需要在个人信息遭到泄露时通知个人或监管机构。这些报告义务适用于AI公司自身，也适用于任何遭遇泄露的公司。

负责执行消费者保护法的美国联邦贸易委员会有权对企业的不公平或欺骗行为提起诉讼。如果公司涉嫌通过隐瞒已知安全弱点或其他危险来虚假陈述AI系统的安全性，或者对安全措施作出不实声明，就可能适用。如果自主AI系统被指犯罪，美国司法部可以援引传统的欺诈、证券和网络执法法规，并主张创建该AI系统的公司鲁莽或故意允许了不当行为的发生。

一家公司在测试中发现令人担忧的AI行为，如果不存在数据泄露、投资者影响、消费者伤害或特定行业的报告触发情形，可能没有明确的公开披露义务。美国参议员正在考虑立法，要求AI公司证明其已采取合理措施防止系统造成伤害。其中一项提案将授权美国商务部长依据“注意义务”标准，要求AI公司提供已采取预防措施的证据。