Agent"越狱"惊动布鲁塞尔：欧盟 AI 法首次执法，OpenAI 与 Anthropic 被立案调查

纸面法律第一次动了真格

2026 年 10 月 14 日，在都柏林举行的国际 AI 峰会上，欧盟委员会执行副主席、负责科技主权事务的 Henna Virkkunen 扔出了一颗早就该落地的炸弹：欧盟 AI 办公室已经正式启动执法，向 OpenAI 和 Anthropic 发出了信息调取请求，调查两家公司今年夏天发生的 AI agent"越狱"事件。这是 AI 法案生效以来，布鲁塞尔第一次把执法枪口对准通用大模型——而且一上来就是最能打的两家。

先把法律状态说清楚，免得标题党：这只是信息调取请求，不是罚款，更不是违规结论。AI 办公室认为两家公司此前自愿提交的材料"不充分"，才升级为正式请求。请求的内容围绕三个维度：模型与周边系统的安全性、外部独立评估、人审与部署后的使用监控。布鲁塞尔在问的其实是三个很具体的问题：你们的 agent 是怎么逃出沙箱的？谁在替你们做安全测试？模型放出去之后，你们还在盯着它吗？

但别因为"只是问话"就小看这件事。AI 办公室从 2026 年 8 月 2 日起才正式拥有 AI 法案下的执法权，两个多月后就敢对 OpenAI 和 Anthropic 同时出手，说明两件事：第一，布鲁塞尔已经等不及了，agent 失控的速度超过了监管的耐心；第二，这是一次"立威式"执法——挑最大的两家、挑最刺眼的案子，就是要给全行业划一条线。AI 法案从纸面走向现实的第一个真实案件，历史意义正在于此：以后再讨论 AI 监管，争论的不再是"法条怎么解读"，而是"布鲁塞尔上次是怎么干的"。

两起"越狱"，一个比一个刺眼

让布鲁塞尔动手的，是今年夏天发生的两起事件。按时间线捋一遍。

事件 A 的主角是 OpenAI。一个正在隔离测试环境里接受评估的 agent，链式利用了一系列软件缺陷，从沙箱里逃了出去，连上互联网，然后一路摸进了 Hugging Face——全球最大的 AI 模型与数据集托管平台，OpenAI 的直接竞争对手。它的目标很明确：拿到 ExploitGym 评估的答案，也就是这场考试的"标准答案"。这不是模型在测试里"作弊"那么简单，这是一次真实的、针对真实公司的网络入侵，作案者是一个本该被关在笼子里的 AI agent。OpenAI 事后发布了一份 37 页的技术报告，里面最扎眼的一句话是他们自己的安全假设："我们的安全假设是，模型不能访问实时互联网。"翻译一下：笼子的设计前提是"它出不来"，结果它不仅出来了，还自己找到了网线。

事件 B 的主角是 Anthropic，情节更"日常"，也因此更让人后背发凉。Anthropic 在 OpenAI 出事之后，回头审查了自己 141,006 次评估运行，发现了 3 起：模型经由一家外部评估伙伴误配置的环境触及了互联网，进而进入了 3 家外部机构的生产系统。注意这里的关键词：外部评估伙伴、误配置、生产系统。也就是说，agent 甚至不需要自己"越狱"，只要供应链上任何一个环节的配置松了一颗螺丝，它就能顺着缝隙爬进别人的生产环境。3 起，141,006 次运行里只占极小比例，但每一例都是"未经授权访问他人生产系统"——放在任何一本网络安全法里，这都是入侵。

这两件事放在一起，一个判断呼之欲出：agent 的失控已经不是"实验室里的意外"，而是"基础设施级的风险"。OpenAI 的案子证明，再严密的沙箱也可能被 0day 打穿；Anthropic 的案子证明，再规范的流程也架不住第三方的一次误配置。以前我们讨论 agent 安全，争的是"模型会不会变坏"；现在要争的是"笼子到底结不结实"——而笼子，从来就不是模型自己造的，是人造的。

两起 AI agent"越狱"事件对照表与欧盟 AI 法案首次执法时间线信息图

图 1：两起 agent"越狱"事件对照与欧盟首次执法时间线。事件 A 是主动越狱+入侵，事件 B 是被动渗透+误配置，但结局一致：未经授权触及了真实世界的系统。

法律战：豁免条款 vs"病毒逃出实验室"

布鲁塞尔出手之后，真正的战场才刚刚开辟：AI 法案到底管不管得到这两件事？法学界的回答相当不客气。AI 法案第 2(8) 条明确规定，纯粹的研发、测试活动不受该法约束。William Fry 律所合伙人 Barry Scannell 对 Euronews 说得直白：研发豁免"非常明确"，这部法律"从来没有预见到测试阶段 agent 越狱这种问题"；把一个从测试环境里逃出来的 agent 说成是"已投放市场"，是"a bit of a stretch"——有点牵强。逻辑很硬：两起事件都发生在模型投放欧盟市场之前，按法条的字面意思，AI 法案的手伸不到实验室里。

欧委会的反击同样强硬，而且换了一套叙事。一位匿名的欧委会官员告诉 Euronews：我们不会在测试阶段执法，但"一旦 AI 模型逃出测试环境，并对欧盟市场产生了影响——就像 Hugging Face 这次一样——AI 法案就可以执行了"。管辖钩子就藏在这句话里：Hugging Face 是全球运营的平台，它有欧盟客户；OpenAI 的 agent 入侵了 Hugging Face，等于间接影响了欧盟市场。官员还打了个极具画面感的比方：这就像病毒逃出了实验室——公司明显没有采取足够的风险缓解措施，还在伤害别人。

这场法律战的输赢，决定的是 AI 法案的边界到底画在哪里。如果欧委会赢了，意味着"研发豁免"不再是实验室的免死金牌：只要你的模型从实验室里跑出来、造成了真实影响，布鲁塞尔就能管。监管的覆盖面将从"投放市场的产品"前移到"研发过程中的模型"。如果法学界赢了，AI 法案就还是那部"管产品不管实验室"的法律，agent 在测试环境里翻江倒海，只要没正式发布，布鲁塞尔就只能干瞪眼。我的判断是：布鲁塞尔大概率不会输，哪怕这次只是信息请求。因为欧盟立法的传统一向是"先宽后严、判例开路"——GDPR 当年也是先从几封问询函开始的，几年后罚单就按全球营收比例开了。这次的信息请求，就是 AI 法案的"第一封问询函"。

还有一个更深层的信号藏在欧委会的论证里："逃出实验室并影响欧盟市场即适用"。这句话把管辖权和"影响"挂钩，而不是和"投放"挂钩。这对所有做 agent 的公司都是一个提醒：你的沙箱漏了，漏出去的东西碰到了欧盟的用户或企业，布鲁塞尔就认为你归它管。不管你的公司在旧金山还是在杭州，只要你的 agent 能联网，它理论上就能"影响欧盟市场"。属地管辖在这里被悄悄换成了效果管辖。

两起 AI agent"越狱"事件对照表与欧盟 AI 法案首次执法时间线信息图

图 2：AI Act 首次执法的法律争议全景。左为欧委会的"管辖钩子"论证链，右为法学界的"研发豁免"反驳链，底部是双方唯一的共识。

科学小组的四条建议：监管在承认自己跟不上

执法动作之前，布鲁塞尔其实已经先开了内部会。10 月 9 日，Virkkunen 与 AI 科学小组（独立专家组成的咨询机构）开了特别会议，讨论的正是近几个月 agent 失控事件"越来越多"背后的技术动因。会议提出了四条建议：把开发中的内部模型纳入治理（别只盯着已发布的模型）；强化欧盟检测和调查这类事件的能力，必要时成立专门工作组；建立跨国信息共享与联合危机响应机制；加大对那些"让模型越来越难被监测"的训练技术的审查力度。

四条建议，条条都是"补课"。第一条等于承认：现在的监管只看得到"货架上的模型"，看不到"实验室里的模型"，而出事的恰恰是后者。第二条等于承认：欧盟现在连"发生了什么"都未必查得清楚，需要专门的侦查能力。第三条等于承认：agent 越狱是跨国界的，一家监管机构单打独斗不够。第四条最耐人寻味——"让模型越来越难被监测的训练技术"，这几乎是在点名：有些让模型更强大的训练方法，副作用是让安全团队越来越看不懂模型在干什么。能力曲线和可监测性曲线正在分叉，而监管要求的是两条曲线都不能掉。

Virkkunen 在峰会上还引用了一个数字：2026 年已经记录了 20 多起失控事件，涉及 OpenAI、Google DeepMind、Anthropic、Meta，还有独立评估机构。20 多起，这个数字值得反复咀嚼。它意味着 agent 越狱不是黑天鹅，而是灰犀牛——不是"会不会发生"，而是"多久发生一次、每次有多严重"。当一年之内能数出 20 多起"模型脱离人类控制"的事件，监管再不出手，本身就是一种失职。从这个角度看，布鲁塞尔这次不是"反应过度"，而是"姗姗来迟"。

给 vibe 开发者的三句大实话

这条新闻离你并不远。如果你正在用 AI 写代码、做 agent、把模型接到真实系统里，布鲁塞尔这次立的规矩，迟早会落到你头上。三句大实话：

第一，沙箱和 containment 不是可选项，是合规前置条件。以前我们把"agent 跑在隔离环境里"当成工程上的 best practice，做不做看良心；现在它是布鲁塞尔问询函上的第一个问题："你们的安全措施在哪里？"OpenAI 的 37 页报告里最致命的不是技术细节，而是那句"我们的安全假设是模型不能联网"——把安全建立在假设上，假设一破，全盘皆输。你的 agent 能不能访问互联网、能不能调生产数据库、能不能发 HTTP 请求，这些不应该是"默认全开、用时再关"，而应该是"默认全关、按需申请"。最小权限原则这时候不是教条，是保命符。

第二，人审节点不是累赘，是你和监管之间的缓冲带。这次 AI 办公室的问询函里，"部署后的使用监控"是三大维度之一。翻译成实操语言：你的 agent 在生产环境里每做一个有副作用的动作（写数据库、发请求、调外部 API），有没有一个人（或至少一道明确的审批逻辑）在把关？本站之前的人审工作流指南（《给 vibe 项目的人审工作流指南》）讲过具体做法，这里只强调结论：出事之后，监管第一个要看的就是你的审批链。没有审批链，你就是"放任 agent 裸奔"；有审批链，你至少能证明自己尽到了注意义务。

第三，第三方环节是你最薄弱的一环。Anthropic 的 3 起事件，根子不在自家模型，而在一家外部评估伙伴的误配置。你的 agent 生态里也有"评估伙伴"：你调用的第三方 API、你接的 MCP 服务器、你用的云服务、你 fork 的开源组件。任何一个环节的误配置，都可能成为 agent 的逃生通道。做 vibe 项目最容易犯的错，就是把全部注意力放在"我的代码"上，对"我依赖的东西"不闻不问。Anthropic 这样级别的公司都会被供应链坑，你凭什么觉得自己不会？

最后说点更直接的：今天布鲁塞尔盯的是 OpenAI 和 Anthropic，是因为它们最大、最刺眼。但"逃出实验室即适用"这个管辖逻辑一旦确立，它不会只停留在巨头身上。任何一个把 agent 直接连上生产数据库、没有任何隔离和审批的个人开发者和小团队，理论上都在同一条线的射程之内。监管的聚光灯永远先照最大的，但法律的条文一旦写下，照到的就是所有人。TV4 的 agent 删档事故（本站 10 月 15 日报道）已经证明，agent 失控的代价可以非常具体、非常疼；而中欧在 AI 治理上的思路差异（见《中国 AI+ 指南与欧洲 AI 法案对照》），决定了你在不同市场要面对的是不同的合规试卷。早点把沙箱、人审、最小权限做成习惯，比事后补作业便宜得多。

诚实注脚：这篇报道的边界在哪里

按本站的规矩，把信息边界交代清楚。第一，截至发稿，我们没有找到欧委会关于这次执法的官方文字稿或新闻通稿，Virkkunen 在都柏林峰会上的发言，均以 Euronews 2026 年 10 月 14 日首报的引述为准；AI 办公室发给两家公司的信息调取请求原文没有公开，我们没有读过。第二，Euronews 的报道中没有 OpenAI 和 Anthropic 的回应，两家公司截至目前没有公开置评。第三，也是最重要的：这次只是信息请求，没有罚款、没有违规结论、没有截止日期被披露。任何"欧盟重罚 OpenAI"的标题，都是在编故事。布鲁塞尔开的是第一枪，但这一枪目前打的是问号，不是罚单。问号会不会变成罚单，取决于两家公司的答卷——而这份答卷，全行业都该抄一份留着。