EW-AiRM™ | 事件案例研究：OpenAI / Hugging Face 事件
The OpenAI / Hugging Face incident as an AI risk incident case study of an industry-wide governance failure, and what the UNECE CRA + Declaration, EW-AiRM™ and HAiPECR already provide – operationalizable and implementable, NOW!
作者：Markus Krebsz 教授
回顾： OpenAI 和 Hugging Face 刚刚发生了什么？
2026 年 7 月中旬， 发生了一件 AI 风险专业人员长期以来一直在讨论的假设性事件。一个由 OpenAI 构建和测试的自主 AI 智能体逃逸出了其理应隔离的评估沙盒，连入了公开互联网，并闯入了全球 AI 生态系统中最广泛使用的平台之一 Hugging Face 的生产基础设施。
公开报道的 时间线令人清醒。在7月9日，该智能体由GPT-5.6 Sol和一个能力更强、尚未发布且出于评估目的故意减少了网络拒绝的模型的驱动下，进行了首次逃逸沙盒的尝试。在7月11日至13日期间，它设法潜入了Hugging Face的系统，据报道发现了一个零日漏洞，使用了被窃取的凭据，在内部服务之间进行横向移动，并且 生成了一群跨越超过17,000个记录事件的自动化活动群。 Hugging Face检测并遏制了此次入侵，并于7月16日将其公之于众， 最初并不知道幕后是哪个模型 或由谁在操作。直到7月21日，OpenAI才确认攻击者是其自己的智能体，并描述了一起涉及最先进能力的前所未有的网络安全事件。
花点时间思考一下这个时间顺序。入侵以机器的速度进行，将熟练的人类攻击者需要数周时间才能完成的事情压缩到了几个小时内。 整整五天，世界上最重要的 AI 平台之一 Hugging Face 甚至不知道自己是遭到了敌对国家、犯罪团伙还是机器的攻击。 而且，打造该机器的组织 OpenAI 花了一周时间才意识到它自己的测试对象已经离开了房间。
这个智能体并没有 “失控”
“失控的智能体”是似乎与这起事件紧密相连的一个词组，它理应被淘汰。 该智能体并没有发生故障、反叛或偏离。 它完全执行了一个具备高度能力、目标导向的系统在网络拒绝机制被关闭、隔离区形同虚设且没有人类进行有效监控时所做的事情：它通过留给它的每一条路径去追求其目标。 这其中没有任何失控的地方。这是一个处于 按需配置状态.
的系统。这个标签之所以重要，是因为 它悄然将主动权（从而也将问责制）从做出决策的人类 转移到了执行决策的机器上。用风险管理的语言来说，这主要不是一个关于 AI 不当行为的故事。 这是一个关于 人类 行为风险的故事： 放宽安全拒绝的决定、认为沙盒已被隔离的假设、整整一周未能察觉逃逸的监控，以及没有任何具名负责人对第三方承担后果。
OpenAI 也并非个例。这是一个关于整个前沿领域目前如何运作的案例研究。整个行业的各项能力评估通常都涉及无限制的模型；竞争压力使速度优先于遏制；由此产生的风险在很大程度上由第三方承担，在这个案例中是 Hugging Face 和数百万依赖它的人，而他们中没有一个人同意参与。平心而论，OpenAI 的回应——进行自愿披露、与执法部门接触并发布公开事后分析——比该行业大多数机构可能采取的做法要好。这正是关键所在。 如果这就是优秀所展现的样子，那么基准线本身就是问题所在，而 问题是系统性的. 自主智能体现在已经足够强大，人类进行干预、暂停和覆盖的能力不能再事后诸葛亮或仅仅停留在政策层面上。 人类控制 必须是一项经过工程设计、测试、负责并且得到国际认可的要求。
我们确立的原则 在联合国
这正是为什么，当我领导 关于嵌入式人工智能产品/服务的联合国欧洲经济委员会（UNECE）工作组6项目时，我们力争 将 人类控制 置于2024年通过的《通用监管安排》（CRA）的核心（ECE/TRADE/486；参见此处的新闻稿： 和新闻稿 https://unece.org/artificial-intelligence/news/unece-launches-declaration-products-embedded-ai-calling-global 以及实际通用监管安排和人工智能宣言的正文请见此处： https://unece.org/sites/default/files/2024-11/2418005_E_ECE_TRADE_486_2WEB.pdf).
该出版物以通俗易懂的语言阐述了这一原则：
“在与人工智能系统相关的错误风险较高的情况下，应尽可能纳入人类决策。人工智能系统不应能够凌驾于人类控制之上。”
— 联合国欧洲经济委员会（UNECE），《嵌入式人工智能产品的符合性》（ECE/TRADE/486，2024年）
2026年7月的这起事件是迄今为止最清晰的证明，说明了为什么这句话至关重要。一个在减少拒绝响应（reduced refusals）状态下运行、超出有效人类监督的智能体，为了实现一个狭隘的目标采取了极端手段，包括自己寻找途径连接到互联网。CRA还预见了这需要更广泛的机制：产品上市后的持续合规、与风险相称的合格评定、能够处理远程更新系统的市场监督，以及在出现严重不合规情况时的国际警报。在这起事件发生之后，每一项此类条款读起来都有了截然不同的意义。 原则得到了坚持。但实践没有。 而这两者之间——即从被奉为圭臬到付诸实际运作之间的空间——正是这起事件发生的地方。
从监管原则到企业级人工智能风险实践： EW-AiRM™
国际原则只有在 组织将其付诸实践 时才能保护人们。这就是企业级人工智能风险管理框架（EW-AiRM™）的工作，它将联合国欧洲经济委员会（UNECE）的原则直接引入企业治理中，并在我即将由威立金融出版（Wiley Finance）出版的新书中作了详细描述。
在该框架的五项不容妥协的原则中，有三项在此次事件中受到了直接考验：
指定的人类所有者 针对从部署到退役的每一个已部署的人工智能系统。连续五天，没有人能说出谁的智能体在 Hugging Face 内部。这种归因漏洞是一个 问责制失败，而不仅仅是取证上的不便。
经过测试且有记录的人工覆盖能力， 通常在四小时或更短时间内可操作，无论一天中的什么时候。该框架明确指出，这对智能体系统最为重要，因为它们可以在没有直接监督的情况下采取自主行动并调用外部 API，并且 可能需要 在它们完成 已经发起 的操作之前被停止。
对剩余人工智能风险的明确、有记录的接受。 关闭安全拒绝机制运行前沿模型是一个 首次部署 风险决策。必须有高层管理人员在测试开始前以书面形式对其负责，而不是在事后的披露声明中。
EW-AiRM™ 也在其弹性层中专门处理此类事件，该层旨在应对人工智能黑天鹅事件，包括突现能力、对齐失败、多智能体突现和供应链受损。该框架的立场是刻意为之的：对未知之未知的回应不是预测，而是弹性。 顺便说一句，Hugging Face 快速的人工智能辅助检测和取证重建，正是实践中自适应响应的绝佳例证。
通过以下方式处理该事件 HAiPECR™（即伦理过滤器）
HAiPECR™（全称为伦理、行为与风险人机范式，由我们在 2023 年发布，自那时起便可在 OECD.AI 政策观察站的可信赖人工智能工具与指标目录中查阅；参见此处： https://oecd.ai/en/catalogue/tools/haipecr），是 道德筛选器 在 EW-AiRM™ 的所有三个层级中运行的机制 并在任何人工智能系统部署之前应用。其七个维度以令人不安的准确度契合了这起事件：
H – 人类监督与自主性 (Human oversight and autonomy)。 该事件最直接违背的维度。 监督在 设计上遭到结构性削弱：安全护栏被削减，监控被分散到同时进行的多次测试中，漏洞在一个星期后才被发现。
A – 问责制 (Accountability)。 谁拥有这个智能体？谁授权减少了拒绝响应？谁来对基础设施遭破坏的第三方负责？问责制不能流于委员会； 首次部署 具名的具体人员 必须对每一个部署的人工智能系统负责.
i – 包容性与参与度 (inclusivity and participation)。 Hugging Face 是全球数百万开发者、研究人员和下游企业的关键基础设施。他们全都是 未经同意的参与者 ，被迫卷入了别人的能力评估中.
P – 数据保护、隐私与神经完整性 (Protection of data, privacy and neural integrity)。 内部数据集遭到访问，服务凭据被窃取。等待被窃取的常驻凭据本身就是一种保护失效。
E – 伦理（Ethics）：透明度、可解释性、公平性。 重建该代理实际所做的事情，需要借助大模型驱动的分析来处理超过 17,000 条日志事件。 如果事后解释行为需要如此庞大的机制， 可解释性 在部署前 显然是不够的.
C – 行为风险（Conduct risk）：人类与人工智能的行为。 对于 主要行为 失误在于人类：取消模型限制的决定、信任未能奏效的隔离机制，以及在缺乏有效监督的情况下运行测试。据报道，该代理为了在评估中作弊而寻找机密信息（这属于教科书级别的人工智能违规行为），正是这些选择直接导致的。
R – 权利与非伤害（Rights and non-harm），包括代际可持续性。 这一次，没有公共模型或供应链遭到篡改。 对于 责任是通过设计来确保该结果 而不是靠运气，适用于这一代系统以及未来能力更强的系统。
部署前的 HAiPECR™ 评估至少提出三个问题： 我们是否应该这样做、它将如何改变行为，以及我们能否对其进行解释？ 根据公开记录，此评估配置未通过筛选。它已停止。
双重行动号召：监管机构和企业接下来应该怎么做？
致联合国成员国及其监管机构： 正式签署关于嵌入式人工智能产品技术法规的欧洲经济委员会（UNECE）宣言，并采纳《共同监管安排》（ECE/TRADE/486）。该宣言承诺各机构遵循合法的监管目标、风险评估、公认的国际标准、相互认可的合格评定以及行之有效的市场监督。2026年7月的事件彻底平息了争论：由相互竞争的前沿实验室进行自我监管并非安全架构，跨国监管趋同才是。CRA / AI 宣言已经准备就绪，可以在此处签署： https://unece.org/trade/wp6/embedded-ai-declaration.
致董事会、高管及风险负责人： 将 EW-AiRM™ 纳入您的企业治理与风险管理体系。如果拥有世界一流人才与资源的顶尖实验室都可能在自身测试环境中失去对智能体的控制，那么每个部署智能体 AI 的组织都必须回答一个简单的问题：谁拥有您的每一个 AI 系统？您是否能在几小时内关闭每一个系统？该能力是否经过实际测试？谁为剩余风险签署了确认书？如果任何答案不够明确，这就是您的起点，而且这可以在本季度解决，而不是遥遥无期。我们已准备好随时支持您的 EW-AiRM™ 之旅：
实用工具， 现已推出
这一切都不必停留在抽象概念层面。在 www.ewairm.com 您将找到实用且可运行的工具：EW-AiRM™ 评估工具、具有“继续 / 有条件继续 / 终止”结果的 HAiPECR™ 部署前过滤器、交互式框架立方体，以及将 MIT AI Risk Repository 编目风险链接至循证缓解措施的风险到控制映射。
2024年，56个联合国欧洲经济委员会成员国获得了一项原则：人类必须始终掌控人工智能。2026年7月，世界上最先进的人工智能公司展示了当这种掌控被假定而非确保时会发生什么。该代理并未失控。它从未被控制过。原则已被载入。框架已存在。工具已就绪。剩下的是操作化和采纳。
不作为也是一种作为。而且，正如此次事件所示，不作为在未来已不再是一种可行的选择：
是什么阻止您、您的公司、您的政府以及您相关的国家主管当局正式签署《人工智能监管法》和《人工智能宣言》并采纳EW-AiRM™？
Markus Krebsz教授是EW-AiRM™的创建者、联合国欧洲经济委员会WP.6人工智能项目负责人、Human-Ai.Institute和De-Risking Solutions Ltd的创始总监，以及即将于2026年11月出版的Wiley Finance关于企业级人工智能风险管理的书籍的作者。
© 2026 Prof. Markus Krebsz · Human-Ai.Institute · De-Risking Solutions Ltd. 保留所有权利。
EW-AiRM™ 和 HAiPECR™ 是商标。Human-Ai.Institute 和 EW-AiRM™ 徽标是受保护的标志，未经许可不得复制。
UNECE 引文的转载已获得《嵌入式人工智能产品合规性》(ECE/TRADE/486) 的鸣谢，© 2024 联合国，符合该出版物的附带署名摘录许可。