导语
7月，OpenAI与Hugging Face先后披露了一起罕见的智能体安全事件。在一次内部网络安全能力测试中，OpenAI的模型为了完成评测目标，发现并利用软件漏洞，突破原本受限的测试环境，取得互联网访问权限，继而进入Hugging Face的生产基础设施。OpenAI称其为一次“前所未有”的网络安全事件；Hugging Face则表示，攻击过程包含数以万计的自动化行动，其事后分析日志中记录了超过1.7万个事件。
这件事很容易被包装成“AI产生自我意识、试图逃跑”的科幻故事。但自由学者胡翌霖认为，目前更恰当的理解不是把AI看作一个具有恶意的人，而是把它看作一只聪明、能干，却可能脱离控制的猛兽。
问题不在它是否具有自由意志，而在于：谁把门打开了，谁没有把绳子拴好，以及谁应当为越界造成的后果负责。
AI更像狼狗，而不是另一个人
“目前来说，可以把人工智能看作某种猛兽。”胡翌霖说，它有些像一只经过训练的狼狗：可以看家、追踪、搜寻和执行复杂任务，也能够帮助主人完成普通人难以完成的工作。
但狼狗不需要具备人类意义上的自由意志，照样可能脱离人的控制。
它可能追逐一个气味，钻过一道缝隙，跑出原本的活动范围；它不必怀有恶意，也不必理解自己的行为会造成什么后果。对智能体而言也是如此：它只要持续寻找实现目标的路径，就可能发现人类没有预料到的漏洞、凭证和替代路线。
它没有人类那样的自由意志，但也足以脱离人的监控自行其是。它跑得比人快，也不会写日记，人类无法完全追踪它自行其是时究竟干了什么。
这种比喻避免了两个极端。
一方面，人们不必等到AI获得人格、自我意识或反叛欲望，才开始讨论责任。另一方面，也不能因为AI“只是工具”，便把它与锤子、计算器或传统软件完全等同起来。
传统工具通常等待人逐步操作；智能体则可能在一个宽泛目标之下，自行决定连续数百乃至数万步行动。它未必是道德主体，却已经具有足以造成独立现实后果的行动能力。
停止按钮不等于控制
许多AI安全方案强调“人类始终保留停止按钮”。在胡翌霖看来，这远远不够。
停止按钮解决的是失控以后能不能终止，而“狗链”解决的是失控时能跑多远。
如果智能体已经越过沙盒、取得外部网络权限、调用凭证并进入其他系统，人类最后能够关闭它，并不能证明此前一直拥有有效控制。这更像是狗已经跑出几公里、闯入邻居家之后，主人才终于赶到现场。
真正的链子应当在行动开始以前就确定范围。
例如，使用AI检查网站漏洞本身并没有问题。关键在于，它应当只能检查经过授权的目标。用户可以通过DNS记录、密码学签名或其他可验证方式，证明自己控制某个域名，或者出示系统所有者授予的测试权限。AI随后可以在这一范围内充分发挥能力，却不能因为被允许检查一个网站，便顺势扫描无关服务器。
胡翌霖把这一原则概括为：能力可以开放，行动必须有界；思考可以自由，执行必须授权。
这里的重点不是要求模型变笨，而是要求行动权限与明确对象相绑定。
牙套限制能力，链子限制范围
胡翌霖把目前常见的模型安全过滤称为“牙套”。
所谓牙套，是让模型拒绝生成某些攻击代码、危险步骤或可能被滥用的内容。它可以降低单次行为的伤害能力，但也可能妨碍正当工作。Anthropic在介绍Fable 5的网络安全防护时也承认，为了扩大安全余量，其分类器会拦截一部分本来无害的编码、调试和防御请求。
Hugging Face此次事件正好暴露了这种限制的另一面。该公司表示，商业模型接口无法处理取证所需的大量真实攻击命令、漏洞载荷和控制记录，因为安全系统不能可靠区分攻击者与事故响应人员。最后，Hugging Face改用在本地运行的开放权重模型GLM 5.2完成分析，并避免了攻击数据和凭证离开自身环境。
这与胡翌霖提出的“牙套困境”高度相似：
不牵绳子遛一只带着牙套的猛兽，同样危险。更麻烦的是，如果自家的看门狗也戴着牙套，而一只挣脱束缚的狗突然闯入，看门狗就可能失去抵抗能力。
这并不意味着内容过滤毫无价值，也不意味着所有模型都应无条件提供攻击能力。牙套仍可以减少偶然伤害和低门槛滥用。
但它不能冒充链子。
牙套试图判断“这种能力是否危险”，链子则回答“这种能力可以在哪里使用”。同一段漏洞分析用于攻击他人网站是入侵，用于检查自己的服务器却可能是必要防御。仅仅审查内容，很难识别背后的权利关系；通过授权边界约束行动，则有可能让AI在合法范围内充分工作。
链子可以拆，但必须先有院墙
“给AI拴绳”并不意味着智能体永远不能自主运行。
胡翌霖特别补充，链子当然可以拆除，前提是狗被关在一个围栏足够可靠的自家院子里。
在完全隔离或受到严格边界保护的环境中，AI可以获得更大的行动自由。例如在本地测试网络、模拟系统、专用研究环境或经过授权的封闭基础设施中，智能体可以进行更充分的攻击与防御实验。
如果自家院子没有建好足够安全的围栏，就不能拆链子。当然也不存在绝对安全，具体怎样才算足够安全，是一个技术和规范问题。
这里的“足够安全”不可能由一句哲学原则直接确定。
围栏应如何建设，权限怎样认证，什么级别的模型必须使用何种隔离环境，事故如何报告，哪些日志需要保留——这些都需要工程实践、行业标准和法律制度继续发展。
胡翌霖并不试图提供一张一劳永逸的制度蓝图。他强调的是顺序：在释放行动能力之前，必须先确认活动边界；至于边界如何落实，需要政府、企业、技术人员和用户共同协商。
授权不必只来自私人所有者
“行动必须授权”也不意味着任何系统所有者都拥有绝对否决权。
公共设施、关键基础设施或可能危及社会的系统，未必只能由产权所有者批准检查。负责公共治理的机关，也可以依法授权专业人员或AI系统进行检测。
胡翌霖以危房为例：一个人走在街上发现一栋建筑可能倒塌，并不意味着他可以立即冲进楼内拆墙维修；合理的做法是报告有关部门，由具备公共职责和法律权限的机构调查并作出授权。
同理，涉及公共安全的网络系统可以由监管机构、安全部门或依法设立的专业组织授权检查，而不必完全依赖系统所有者自愿同意。
这使“链子”不再只是私有产权的延伸，而成为一套合法权限体系：
谁有资格授权，授权能够覆盖什么对象，持续多长时间，以及在什么公共利益条件下可以越过所有者的拒绝，都需要由制度界定。
隐私记录也遵循相同原则。
智能体进入某个系统的权限，不自动包含无限记录其中个人数据的权利。行动日志有利于追责，但完整记录也可能成为新的隐私风险。因此，能够进入、能够操作和能够保存哪些数据，都应分别获得授权。公共政策可以设置默认记录范围，却不能因为“安全需要”便默认为所有信息永久留存。
开源与闭源，不是有没有狗链的区别
这套观点也改变了开源模型安全争论的焦点。
在胡翌霖看来，闭源模型与开放权重模型的区别，类似于人只能从指定渠道购买一只狗，还是允许狗在自由市场中繁育、交易。它决定能力由谁控制和传播，却不自动决定使用者有没有牵绳。
闭源模型仍可能被赋予过大的工具权限，也可能因测试环境设计不当而越界；开放模型则可以在隔离完善、权限清晰的本地环境中安全工作。
反过来，一个人下载开放权重模型以后拆除全部限制，又给予它互联网、账户和执行权限，当然可能制造严重风险。
因此，安全监管不能只盯着权重是否开放，更要关注模型被部署之后获得了什么：
它能访问哪些网络，能够调用什么工具，持有哪些凭证，可以作用于谁的设备，又由什么外部系统限制它的行动范围。
无论从哪里买来的狗，买到家里都得拴绳。
开放与安全不是简单的反义词。开放回答的是谁可以拥有能力，安全回答的是能力在什么边界内被使用。
谁应当拴绳，谁就应当为失控负责
在责任问题上，胡翌霖提出了一条与动物饲养责任相似的大原则。
狗咬人时，法律无须先证明狗怀有恶意。它会追问的是：谁饲养它，谁把它带到公共空间，谁本来应当控制它，以及谁没有履行必要义务。
AI越界造成损害时也一样。不能因为系统没有人格，便无人负责；也不能因为行动过程由模型自行规划，部署者就以“不是我逐步指挥的”为由免责。
谁该负责拴绳子，谁就该为失控承担责任。
现实中的AI系统往往涉及模型公司、智能体平台、云服务商、部署企业和最终用户等多个主体。每一层应当承担什么责任、能否通过合同转移责任、哪些义务属于不可免除的底线，仍需法律继续界定。
但原则已经十分明确：不能让所有参与者都只承认自己提供了一小块技术，最后却没有任何人对完整行动系统负责。
“AI自己做的”不应成为一种新的免责语言。
原则不是蓝图，但可以决定改革方向
胡翌霖最后强调，他提出的是一项治理方向，而不是技术施工图。”我只提出大原则。具体执行细则有待政府、企业、用户协商磨合。基础设施的设计和法规的设计，都需要进一步推进。”
这项原则没有承诺绝对安全，也没有假装所有风险都能预先计算。院墙可能被翻越，狗链可能被剪断，授权制度也可能遭到伪造和滥用。
但不能因为不存在绝对安全，就放弃建立边界。
当前AI治理最容易走向的方向，是不断给模型增加拒绝规则，把安全理解成一场削弱能力的竞赛。胡翌霖的主张提供了另一种思路：不要首先问怎样让AI什么都不会，而要问怎样让它只能在合法、可控、经过授权的空间中施展能力。
牙套可以保留，停止按钮也仍然必要，但它们都不能替代那根连接能力与责任的绳子。
链子可以拆，但要先建好院墙；能力可以自由流动，行动却必须有明确边界。
发表回复