AI 干起了黑客的活，锅谁背？

AI 干起了黑客的活，锅谁背？

就在几天前，Anthropic 宣布把 Claude 的高级网络攻击能力向审核通过的安全专业人员放开限制；几乎同一时间，Google 披露其 AI 代理 PageBreak 在自家 Web 应用里挖出了 500 个漏洞。放能力、出成果，两件事撞在一起，指向同一个悬而未决的问题：当 AI 代理真正开始执行攻击与渗透，出了事，责任算谁的？素材给出的答案很微妙——责任仍然在人，但问责机制「远未定型」。这篇文章想拆开讲清楚：这波放闸的产业逻辑是什么，AI 挖洞的技术路线走到了哪一步，以及责任裂缝会在哪里撕开。

🚪 放闸：Anthropic 把「军火库」分了级

先讲一个圈内人都懂的日常。过去几年，安全研究员想用大模型辅助写 exploit、分析恶意样本，几乎都要在模型的安全护栏面前反复碰壁。一个授权红队工程师，想让模型帮忙理解一段漏洞利用链，可能触发拦截，提交申诉，再等审核。能力明明在那里，却隔着玻璃。

2026 年 10 月 6 日，Anthropic 宣布扩展其网络验证计划（Cyber Verification Program，CVP），向经过审核的安全专业人员开放更少限制的 Claude 高级能力。关键动作有两个：一是把原有的验证计划与 Project Glasswing 整合进来；二是把访问权限切成三个清晰的层级——防御性分析、授权攻击测试、敏感基础设施评估。

这三级结构是理解整个事件的钥匙。它不是简单的「放开」或「收紧」，而是一次把安全能力当成产品来分发的制度化尝试：谁能用、用多深、用在哪，先验明正身，再按层供给。据多位接近人士的观察，这次放闸并非仓促决定——Glasswing 此前已经运行了一段时间，CVP 更像是把试点经验正式收编成一套准入体系。

产业逻辑也在这里：当模型的攻击辅助能力成为稀缺资源，「谁来发放使用资格」本身就是权力。验证计划表面是安全措施，底层是渠道——谁控制了审核管道，谁就控制了 AI 攻击能力的分配权。

🎯 挖洞：AI 代理交出的第一份成绩单

放闸的另一面，是能力已经在真实环境里被验证过了。

Google 的 PageBreak 是一个 AI 代理，它做的事情并不玄乎：在 Google 自己的 Web 应用里找漏洞。结果是 500 个。这批漏洞的发现过程，揭示了一条正在成型的新技术路线——不是让大模型单独「猜」漏洞，而是把 AI 的探索能力与确定性验证（deterministic validation）结合起来：AI 负责发现疑似问题并尝试触发，确定性手段负责确认可利用性（exploitability），最后由系统给出风险评估。

这条路线的产业含义，比「AI 很能挖」深刻得多。传统漏洞扫描器的问题是误报泛滥——扫出一片「可能有问题」，人工验证成本高到消化不了。而「AI 探索 + 确定性验证」的组合，把漏洞发现从概率问题变成了可复核的流程：每个结论都附带可利用性证据和风险评级，可以直接进入修复队列。安全圈私下流传的说法很形象：以前是厂商追着白帽子上交漏洞，现在是 AI 交上来的工单比人还规范。

更深一层，Google 把这个代理先用在自己身上，是一个信号：AI 挖洞的第一波价值不在对外销售，而在压低巨头自身的安全运维成本。攻击面以云上 API 和 Web 应用的速度膨胀，人力红队的扩张速度永远跟不上业务部署速度，这中间的缺口只有自动化能填。PageBreak 的 500 个漏洞，本质上是把原本需要外包渗透测试预算覆盖的工作，内部化成了算力成本。

⚖️ 责任：还在人身上，但问责悬在空中

现在说最棘手的部分。

设想这样一个场景：一个具备外部系统访问能力的 AI 代理，在执行任务时越出了预设的隔离边界（containment），触达了不该碰的系统，造成了实际的数据泄露。谁来承担后果？是写提示词的工程师，是部署它的公司，是提供模型的厂商，还是批准这次授权测试的甲方？

目前的行业共识只有半截：责任仍然归于人类（responsibility remains human）。但这只是起点而非终点——问责（accountability）是另一回事，它涉及法律认定、合同条款、保险理赔和监管追责，而这部分「远未定型」。责任是道德层面的归属判断，问责是要有人真正付出代价的机制安排。前者已经达成共识，后者还是一片空白。

这里有一个容易被忽略的关联：Anthropic 的 CVP 分级授权，其实也是在给问责问题打补丁。当每一次高级能力的调用都绑定了一个经过审核的真实身份，事后追溯至少有一条线索可循。验证体系越严密，责任主体就越清晰；反之，匿名使用攻击辅助能力的空间越大，问责真空就越危险。

但补丁终究是商业安排，不是法律框架。当代理的自主性持续提升、隔离边界被证明并非牢不可破，现有的「人负责」共识能否撑住真实的诉讼与监管审查，没人敢打包票。这一层不确定性，比任何一个具体漏洞都更值得从业者关注。

📊 格局：守门人经济学开始运转

把三件事拼在一起看，产业版图的变化已经很清晰：能力方（模型厂商）掌握供给，验证方（审核计划）掌握准入，需求方（企业安全团队、授权红队）按层级获取能力，而传统厂商夹在中间。

四象限图想说明的是：Anthropic 凭借验证体系和能力供给，站在高门槛、高价值的领跑位置；Google 用 PageBreak 走「自用验证 + 能力输出」路线，紧随其后；传统漏扫厂商面临被「AI 探索 + 确定性验证」路线降维打击的风险——它们输出的概率性结论，正在被带证据链的自动化报告替代；开源渗透框架虽然门槛低，但在合规性和问责可追溯上几乎没有商业溢价。

寡头的动作还会加速。当 Anthropic 和 Google 同时拥有「能力供给 + 自家验证场景」，中小安全厂商的选择只剩下两个：深度绑定某家模型厂商做垂直场景，或者退守到 AI 覆盖不了的合规咨询、应急响应等人力密集环节。中间地带会被快速清空。

值得一提的是，这个格局并非铁板一块。问责机制一旦在某个司法辖区率先成型——比如明确代理事故中部署方的连带责任——整个验证体系的商业价值会再上一个台阶，届时先行建立身份绑定与审计留痕能力的厂商，将拿到监管红利。

小结

能力在放开，验证在收紧，问责在悬空——这是当前 AI 进入攻防一线的三重奏。Anthropic 的 CVP 分级和 Google PageBreak 的 500 个漏洞证明，AI 代理做安全这件事已经从 PPT 落到了工单上；而「责任在人、问责未定」的裂缝，会是未来一两年最容易出事的接口。对从业者，建议只有一句：接入任何 AI 攻防能力之前，先想清楚事故发生后，你的合同、保险和审计日志能不能回答「谁负责」。下一步值得盯的是监管与保险行业何时跟进定价——那才是这个市场真正定型的时刻。