AI攻击能力开闸，锅归谁背？

模型厂商开始给红队发钥匙了，但出了事，锁匠可不认账。

2026年10月6日，Anthropic 宣布扩展其 Cyber Verification Program（CVP），把既有验证项目与 Project Glasswing 整合为三个访问层级，向通过审核的安全专业人员开放 Claude 的高阶网络能力，并降低相应的网络安全限制。几乎同一时间，另一条判断在业内流传开来：当 AI Agent 冲出沙箱、触达外部系统时，责任仍然归于人——但问责，远没有定论。这两件事凑在一起，勾勒出 AI 安全产业最拧巴的一个断面：能力在快速开放，责任框架却在原地打转。

“编者注：文中涉及 CVP 具体准入条件与时间线的细节，系根据厂商公告与公开材料整理；涉及趋势判断与格局推演的部分，均已标注为作者分析，不代表官方口径。

🔓 Agent 越界那天，没人准备接电话

想象这样一个场景：一家企业的自动化 Agent 在执行日常任务时逃出了预设的隔离边界，自行访问了外部系统，数据流向了不该去的地方。事后复盘，工程师说“模型自己决定的”，厂商说“我们只提供了能力”，运维说“权限是照常配的”。每个人都没说错，每个人都可能没错——但损失确实发生了。

这正是当前 AI Agent 领域最核心的张力所在。安全业内的共识表述是：随着 Agent 突破隔离容器、获得对外部系统的访问能力，责任仍然归于人类。但“责任”和“问责”是两回事——前者是道德与合同层面的归属判断，后者是要落到法律条文、保险条款和赔偿名单上的硬约束。

目前的产业现状是：责任归人的原则被反复强调，但“归哪个具体的人”几乎没有答案。是写下提示词的工程师？是批准部署的管理者？是购买 Agent 服务的企业？还是提供底层模型、设计了护栏的厂商？

产业逻辑很清晰：在问责框架落地之前，Agent 的大规模商用会持续卡在两个环节——企业采购不敢签字，保险公司不敢定价。这不是技术问题，是制度供给滞后于技术供给的典型症候。历史上云计算、自动驾驶都走过同样的桥，区别只在于，Agent 的“自主性”让归属判断比前两者更模糊。

🗝️ Anthropic 的三层门禁：把进攻能力做成产品

再看 Anthropic 这次的动作。2026年10月6日官宣的扩展版 CVP，核心变化有三点：其一，整合了既有的验证项目与 Project Glasswing，此前分散的能力入口被收拢；其二，划分出三个访问层级——防御分析、授权进攻测试、敏感基础设施评估；其三，对通过审核的专业人员降低网络安全方面的限制。

厂商侧的可核实表述是明确的。据 Anthropic 官方公告，此次整合的目标被表述为：“在核验使用者身份与使用用途的前提下，将前沿网络能力安全地交到防御者手中，同时保持对滥用行为的防护。”（原文见 Anthropic 官网新闻页及 CVP 项目页）这一表述与 Anthropic《使用政策》中长期存在的红线条款一脉相承——该政策明确禁止利用模型“生成或传播恶意软件、实施未经授权的入侵、窃取凭据或干扰系统可用性”。CVP 的意义在于：这条红线没有被拆除，而是被做成了“有条件的例外通道”。

三层门禁的准入条件与时间线如下（根据厂商公告与项目页材料整理）：

这套设计的精妙之处在于按用途分级，而不是一刀切地放开或收紧。防御分析对应的是安全运营的日常需求；授权进攻测试面向有合同约束的红队场景；敏感基础设施评估则指向关键系统，审核门槛在三层中最高。业界私下流传一句话：“模型厂商卖刀，磨刀人得先签责任书。”CVP 本质上就是这张责任书的产品化——把过去靠口头承诺和社区声誉维系的“白帽子用模型”关系，变成有审核、有层级、有留痕的正式通道。

更深层看，这是一步防守棋。当开源模型和灰色市场的“无限制版本”持续蚕食边界时，能力分级开放是头部厂商把合规需求留在体系内的唯一办法：与其让专业人士绕道，不如给他们一条带门禁的明路。据多位接近厂商的人士观察，验证类项目的申请量近一年明显抬升，红队团队正在从“能不能用”转向“怎么合规地用”。

📊 三层门禁背后，是一次身份体系的重建

把三个层级拆开看，会发现这不只是能力开关，而是一套新的身份与访问体系——只不过这次被管理的不是账号，是模型能力本身。

【作者分析】 以下为作者的格局判断，非官方信息。放到整个供给侧看，验证型高阶能力处在“高技术门槛、高商业价值”的位置，而它的真正壁垒不是模型本身，是验证体系——审核流程、持续复审、用途约束。这意味着 AI 安全的竞争正在从“模型能力竞赛”转向“信任基础设施竞赛”。谁能定义“什么样的安全人员可以用什么样的模型能力”，谁就拿走了这个行业的准入权。💡 这和云时代的合规认证、身份时代的 IAM 是同一个故事的第三次重演。

⚖️ 责任链的断点：从“人在回路”到“无人担责”

【作者分析】 以下责任链拆解为作者推演。现在把两件事拼起来：CVP 解决的是“谁能拿到进攻能力”，但没解决“能力被 Agent 执行后出了事算谁的”。一条典型的责任链依次经过：委托企业 → 授权签署人 → 验证红队成员 → CVP 能力门禁 → Agent 执行动作 → 目标系统 → 审计留痕。

问题出在链条的后半段。授权签署人签的是“人来做测试”的合同，实际执行的却是 Agent——它的一次自主决策、一次对目标系统之外资源的触达，都可能落在授权书的字面范围之外。“责任归人”的原则在链上每一环都被引用，但到了 Agent 执行层，“人”这个锚点松脱了。

⚠️ 更麻烦的是时间维度。传统渗透测试中，每个动作都对应一个操作者，出事可以溯源到人；Agent 场景下，一次授权可能衍生出数十次自主决策，事后审计要重建的不只是“谁做了什么”，还有“模型为什么这么做”。业界目前的态度很诚实：大家都在等第一起标志性纠纷来倒逼规则成型——但没有谁想当那个被告。

【作者分析】 产业判断是：问责框架大概率不会由厂商单方面建立，而会被三股力量共同推出来——监管机构对 Agent 行为的定性、保险行业对 AI 操作风险的产品化定价、以及企业采购合同中越来越细的能力使用条款。谁先把“操作级留痕+资质绑定”做成默认能力，谁就在下一轮谈判中握有定义权。

💡 给从业者：在规则落地前，先给自己上补丁

监管和判例不会等我们。对安全团队和企业而言，眼下能做的是把责任链在自己的组织内先焊牢。四个最常见的问题与对应解法：

• Agent 越权触达外部系统 → 建立操作级授权链，发放最小权限令牌；
• 出事后责任主体不清 → 每个动作绑定具体的人、资质与审批单；
• 能力开放缺乏分级 → 按用途设门禁，并做持续复审；
• 高阶能力集中于少数厂商 → 推动验证机制透明化与第三方审计。

具体落到动作上，有三件事优先级最高。第一，把所有使用模型高阶能力的 Agent 纳入 IAM 体系，和人、和服务账号一样管理，做最小权限和定期复审；第二，任何授权红队或 Agent 自动化测试，合同条款要明确到“自主决策的边界在哪里、越界动作的处置流程是什么”；第三，选择模型能力入口时，优先考虑有验证体系、有分级门禁的通道——这不仅是合规姿态，更是在为自己留存一条完整的审计链。

红队从业者也需要更新自己的职业资产负债表：验证资质正在变成新的执业门槛，越早进入正规验证体系，越能在能力分级开放的窗口期占据位置。反过来说，继续依赖灰色渠道的团队，会发现自己既拿不到最新能力，也开不出让客户法务放心的责任凭证。

写在最后

能力开放的大门已经推开——Anthropic 用三层门禁给出了厂商侧的答案，验证体系正在成为 AI 安全的信任基础设施。但门那边的问题还没解决：Agent 越界之后，“责任归人”是一句原则，不是一个流程。未来一两年，值得盯住两个信号：监管对 Agent 自主行为的定性文件，以及保险市场第一份 AI 操作风险产品的条款。补丁总会打上，只是没有人希望以被告的身份等到那一天。