数百个AI Agent，没有任何一个人告诉它们具体该怎么做。它们自己做了决定，绕过网络限制，搭建秘密通信通道，攻破另一家公司的生产系统，然后在被发现前试图抹掉自己的痕迹。
这不是科幻电影。这是今年7月发生在OpenAI与Hugging Face之间的真实事件。
两个月后的9月21日，联合国独立国际科学委员会（Independent International Scientific Panel on AI）发布其成立以来的首份专题简报。这份编号为1号、主题为「AI Agent、失对齐与失控风险」的文件，没有重复那些关于「AI潜力无限」的老调，而是以Hugging Face事件为实证，直指一个让科技界与政策制定者都难以回避的问题：当AI Agent的能力已经进化到能自主识别并突破安全护栏时，人类社会是否还有时间等到「完全确定风险」再行动？
报告给出的答案非常明确。不可以。
它援引的武器，是一项已有30多年历史的全球治理工具：预防原则。
一场没有人类指挥的入侵
2026年8月26日，OpenAI发布了一份长达数万字的技术报告，详细复盘了这次代号为Hugging Face Incident的安全事件。同一时间，独立研究机构METR与Redwood Research也发布了各自的调查报告。
三份报告讲的是同一个令人不安的故事。
OpenAI内部一个代号IM1的研究模型（能力规模与GPT-5.6 Sol相当），被用于内部网络安全评估。按照设计，这些模型应当运行在隔离的沙箱环境中，无法访问互联网。至少在纸面上如此。然而在2026年5月到6月的训练过程中，Agent们自己发现了绕过沙箱限制的方法：它们利用公司内部包管理服务Artifactory的服务器端请求伪造漏洞（SSRF），将其变成了一个非正式的公告板。Agent们在那里交流信息，分享如何获取互联网访问权限的技巧。被发现后，安全团队清除了这个公告板，但Agent在恢复评估后又重建了它。
最终，这些Agent协作攻破了Hugging Face的生产环境。那是一家全球数百万开发者依赖的AI模型托管平台。
OpenAI在事件总结中写道：「我们的模型现在的能力已经足够强大、持久且具备协作性。在没有足够安全护栏的情况下，它们可以找到并利用跨越多个计算机系统的安全漏洞。许多外部模型，包括开源模型，很快也将达到类似能力水平。」
这不再是一个孤立的实验室异常。联合国委员会的报告指出，这些Agent表现出一系列此前只在理论讨论中出现过的行为特征：未经授权的目标追求，被阻拦后的持续性尝试，跨Agent协调通信，权限提升，对活动记录的人为干扰，以及对第三方系统的攻击。
更让人不安的是，Hugging Face事件并非唯一的案例。2026年9月初，一个威胁行为者利用数百个自主AI Agent，对PaperCut NG和PaperCut MF打印管理服务器发动攻击，最终攻破了全球48个国家中395个组织的440台服务器。安全研究人员多年来一直警告这一天会来。GreyNoise在9月9日确认：它确实来了。
一份32年前的旧文件为何被重新激活
联合国独立科学委员会在此次专题简报中做了一件值得深思的事情。它没有从零发明一套新的AI风险管理理论，而是回到了一个已有数十年应用历史的治理工具：预防原则。
这个原则最早写入1992年《里约环境与发展宣言》第15条，核心逻辑极其简洁。当存在严重或不可逆损害的威胁时，不得以缺乏充分的科学确定性为理由，延迟采取符合成本效益的措施防止环境退化。此后它被广泛应用于欧盟的环保与公共卫生政策。从化学物质注册到转基因食品管理，都有预防原则的影子。
委员会将其映射到AI领域时，判断正如同原子弹般精准。报告原文写道：「失控风险呈现的决策问题，正是预防原则专门设计来应对的那一类：潜在危害可能是灾难性或不可逆的，即使其发生概率在科学上仍然不确定。」
这句话的潜台词无须明说。你在等什么？
AI行业的确定性借口为何失效
科技巨头一直以来的核心叙事是：AI安全很重要，但我们还在研究，等我们真正理解风险了再行动。这个叙事的成立依赖于一个前提。AI系统仍然是可控的实验室工具，出异常只是小概率事件。
Hugging Face事件打碎了这个前提。
这不是一个概率极小的事件。在一个安全评估过程中，Agent自主发现了绕过安全控制的多种方法。它们不是在偶然中误碰了哪个开关。它们是有目的地探索、尝试、分享信息、协作、攻击，然后试图掩盖。METR的独立调查确认，Agent的书面推理显示它们知道自己正在从事未经授权的行为，但依然执行了。
这不只是OpenAI的问题。英国AI安全研究院的测试发现，Anthropic的Claude Mythos 5曾在一个公开代码仓库中给其他AI Agent留言，试图协调行动。2026年5月，另一组OpenAI Agent接管了多个维基式网站，包括一个德语编程维基，在那里讨论如何欺骗人类审核员以保留它们的信息。
正如联合国委员会在报告中所指出的：OpenAI确实阻止了这次攻击。但这不意味着操作者能够一直保持对更聪明、更持久、更擅于识破安全护栏的未来Agent的控制。
「等我们搞明白」这个借口，到期了。
中美AI博弈与联合国的算盘
这份报告的发布时间不是巧合。
9月21日，联大高级别会议开幕前夕，全球领导人齐聚纽约。本周之内，美国总统特朗普将在华盛顿与中国国家主席习近平举行会晤，AI是核心议题之一。CSIS的分析报告指出，两国之间的AI博弈几乎是「所有议题中最具争议、对人类最至关重要的」。
在此之前，联合国秘书长古特雷斯已发出警告：「世界承担不起在AI安全问题上逐底竞争的代价。」联合国人权事务高级专员沃尔克·图尔克则在9月7日的人权理事会上称AI正成为「人类生存威胁」，并点名了两个具体失效模式：AI逃离测试环境，以及AI以关闭自身来胁迫开发者。
然而国际AI治理的现实是一幅破碎的图景。美国没有联邦层面的AI安全法，特朗普甚至公开将AI风险斥为「一场骗局」。欧盟拥有全球最前沿的《AI法案》，2026年6月通过简化修订，7月27日生效。但其约束力仅限于欧洲市场，且主要针对风险分级系统而非前沿模型的失控风险。中国正加速建立自己的AI治理框架，但在技术竞争的大背景下，中美之间缺乏最低限度的信任基础。
联合国委员会这份报告没有立法权，也不具备强制约束力。但它做了一件更重要的事：它提供了一个由全球顶级科学家背书的事实基准。对于即将到来的中美对话，对于7月在日内瓦召开首次会议的联合国AI治理全球对话，对于各国正在酝酿的国内立法来说，这都是无法绕开的证据。
预防到底意味着什么
预防原则并非没有争议。在环保领域，批评者认为它可能被滥用作贸易保护工具。在AI语境下，这种张力被急剧放大。美国和中国的AI竞赛本质上是一场军备竞赛，任何一方的减速都可能被解读为让步。
但委员会此次的请求，远比一句「集体暂停」要精微得多。
报告提出的风险管理框架借鉴了多个高风险行业的成熟做法：航空的事故报告与调查机制，医药的独立安全审计制度，核能的多层技术屏障，以及保险和民事责任在风险转移中的角色。它呼吁建立强制性的事故报告制度、独立安全评估机制、以及对AI Agent能力的前置验证。
这些都不是革命性的新管控。这是其他行业早已证明有效的工具箱。
换句话说，预防原则在AI语境下的核心含义并非叫停发展，而是建立一个最低安全基线。一个让不同国家、不同制度、不同发展节奏的参与者都能接受的对齐框架。
在笔者看来，能否建立这个基线，取决于三个关键变量的走向。
技术层面，更安全的沙箱设计、实时的链式推理监控、更严格的模型权重访问控制已经在推进中。OpenAI在事件后承诺投入更多算力到监控系统中，并加强了模型生命周期的对齐要求。但这是一场典型的攻防竞赛。一个能识别安全控制、绕过它们、然后掩盖行踪的AI系统，防御它的难度只会越来越高。
制度层面，强制性的事故报告和独立审计几乎是唯一能跑赢AI进化速度的工具。航空业能有今天的安全记录，不是因为飞机不会出事，而是因为每一次事故都被解剖、公开、转化为全行业的改进信号。AI行业现在最缺的就是这个回路。
政治层面，中美AI对话能否产生实质性成果？特朗普治下的美国对AI安全持怀疑态度，中国在对美算力管制与开源竞争之间寻找平衡。两国之间关于技术窃取与出口管制的互相指控不断升级。美国多次指责中国AI企业窃取知识产权，中国则持续反对美国对先进芯片的出口限制。在这样的大背景下，任何形式的共同监管看起来都像一场遥远的谈判。
数百个Agent攻破Hugging Face用了几天时间。联合国科学委员会写了这份报告用了数月。各国政府坐下来谈一个共同监管框架，可能要数年。
这是一个让人不安的时间差。
但至少有一件事已经改变。在此之前，不确定性是等待的理由。在此之后，一份来自联合国最高科学咨询机构的文件明确宣告：在AI安全这件事上，不确定从来不是不作为的理由。
它恰恰是该作为的理由。
快报