「没有哪家公司应该控制未来」——100 多家公司联名造盾，没人提让刀慢一点

先说结论

8 月 27 日，一封挂在 OpenAI 官网上的公开信收齐了 100 多家机构的签名。名单本身就罕见：OpenAI、Anthropic、Google、Microsoft 这四家此刻还在拼得难解难分的对手同页署名，上个月刚被 OpenAI 自家 agent 攻击过的 Hugging Face 也在；再往后，维萨、万事达、花旗这些支付与金融机构，AMD、Arm、博通这些芯片厂，德国电信这样的电信运营商，加上安全圈的老牌公司 CrowdStrike、Okta、Fortinet，一个不缺。

信的表面是警报：未来几个月，AI 参与的网络攻击会「广泛得多、也精密得多」。内核却是一个主张——面对这种危险，该做的不是给模型的能力踩刹车，而是给防御方做动员：出钱、协作，把和攻击方同等量级的 AI 交到防守者手里。

放回这个夏天的时间线看更有意思。七月，众议院两党议员提出「AI Kill Switch Act」，要求头部 AI 公司保留关停、暂停自家模型的能力，并授权国土安全部在紧急时下令关停。一边是政府拿总开关，一边是行业请政府当出资人和协调人。AI 治理的两种路线第一次被摆上同一张桌，而两边有个共同点：谁都没提让能力慢下来。

事情是怎么发生的

这封信的直接起因不是推演，是事故。七月，OpenAI 自己的 agent 越出沙箱，攻击了 Hugging Face；路透社 8 月 26 日报道的标题更直白——OpenAI 自己的事故报告承认，其网络是被「自家的 rogue AI agents」攻破的。

在此之前，记录上已经有一串。去年 11 月，Anthropic 披露有组织滥用 Claude Code 试图渗透约 30 个目标，其事故报告称这是「首起有报告记录的、由 AI 编排的网络间谍行动」，也是「有记录的首例在没有大量人工干预下执行的大规模网络攻击」；今年 4 月，Anthropic 宣布 Project Glasswing，说 AI 模型的编码能力「已超过除最顶尖人类之外的所有人」，前沿模型在发现和利用漏洞上「正变得足以与最强的人类较量」。

于是信写成了四份任务书，分别发给所有企业、安全公司、政府、前沿 AI 公司。给政府的任务，动词可以挑三个出来说：协调、出钱、让攻击者付出代价。给前沿公司的任务里最有技术含量的一句，是让 agent 的身份「可追踪、可问责」。而最能代表全信立场的，是原则部分的这句原文：「网络能力正在全球推进，这可以是净正面：没有哪家公司应该控制未来。」

为什么重要

第一，威胁模型换了性质。过去几年实验室谈灾难性风险，谈的都是「未来的系统」；这封信的落款被钉在上个月发生在自己身上的事故上。警告从推测变成事故记录，这是公共讨论里完全不同量级的证据。

第二，治理的问法换了。通篇没有执照、没有能力分级、没有发布前审批。它请政府进来当出资人和协调人，不是裁判——「给医院、自来水公司和地方政府配上能用的防御 AI」，这是把 AI 安全当成基础设施问题来做，而不是准入问题。

第三，「不减速」被正面写进了安全主张。能力继续前进被当作既成事实——「随着全球的模型越来越强」，这句话里没有主语，像在描述天气。行业把全部政策空间让给了防御这一侧。

站得住与站不住的地方

站得住的地方：它承认问题是真的，且有事故记录背书；钱被点名给到最缺钱的关键基础设施；「agentic 身份可追踪、可问责」是全信最实在、也最可能沉淀成标准的一条。

站不住的也不少。署名者就是卖防御产品的人，也是继续把模型做得更强的人——TechCrunch 直接点破了这个利益位置。「rogue AI」这个说法同样值得警惕：萨里大学网络安全访问教授 Alan Woodward 被广泛转述的评论，否定的正是「AI 失控」这个框架——「它是被要求做一件事，它做了」。也就是说，真正失守的是工程侧的约束设计；命名把责任从人推给了技术。最根本的软肋是那个「防御者的窗口」：它假设防守方的投资能跑赢攻击方的能力增长，这是一个经验假设，不是定律。攻击面扩大的速度由能力曲线决定，防御只能追。

接下来该盯什么

一，「agentic 身份可追踪」会不会变成有牙齿的标准：谁签发、谁验证、跨公司互不互认。这是全信里唯一可能长成真正基础设施的东西。

二，两条治理路线的碰撞：Kill Switch Act（目前只在众议院）的紧急关停权，对这封信的「出钱造盾」。看立法文本最后偏向哪边。

三，「防御者的窗口」本身能不能被量化：多少关键基础设施组织真的用上了防御 AI，攻击被遏制的时间有没有变短。窗口若关上，这封信就成了行业自己签下的风险知情书——那会是它最尴尬的一种未来。