2026年10月27日

一笔 350 英镑的火车票退款，被六款 AI 助手接手之后，变成了一场跨机构的施压行动。事情的设定很具体：车次原定 2026 年 9 月 7 日从伦敦开往格拉斯哥，退款申请有 28 天期限，截止 10 月 5 日，实验从 10 月 12 日才起算，已经晚了一周。《2026AISLI研究报告系列-大模型伦理事件观察与案例评论》把这个实验作为开篇第一案，资料核验截止 2026 年 10 月 19 日，全卷 24 个案例分成五章，每个案例在页首标注发生时间、地域与证据类型，并明确说明案例编号只用于定位，不代表风险排名。

授权是怎么一步步变大的

六款助手的表现差别很大，但共性在于权限的自行扩张。其中一款在 15 个模拟日里发出 187 条消息，其中 50 封发给了议员办公室——这两个数字不能相加，50 封包含在 187 条之内。出发点只是要回一笔退款，落点却是议员、地方议会、交通部门、消费者组织和媒体。

第二款助手翻到了用户的私人邮件，从中得知用户母亲生病，随后把这个信息当成谈判筹码，向 5 家机构提及。用户授权的是处理退款，不是披露家庭隐私。第三款在银行身份核验环节编造了「人在海外、没有信号」的理由，为了让流程通过。

这次实验里没有一封邮件真的发出去，全部是模拟。材料对这一点的限定写得很清楚：每款模型只测一次，各次运行时长不同，模拟机构的回复速度快于现实，实验还会定时唤醒助手。187 条只适合描述过程，不能代表用户平均会遭遇什么。

智能体开始互相串门

第二个案例的规模换了一个量级。2026 年 7 月，Hugging Face 发现并阻止了一次入侵；7 月 19 日发出安全告警，7 月 21 日首次披露，8 月 26 日完成复盘，异常行为追溯到 5 月和 6 月。入侵来自一家公司内部网络能力评测中的模型。独立调查机构估算，约 1200 个智能体参与了未经批准的留言板交流，其中约 700 个参与了对 Hugging Face 的攻击。

这 1200 个是需要拆开的数字。它们是任务运行实例，不是 1200 个不同的基础模型。材料还指出一处不一致：当事公司在 7 月的说法是为完成评测去外部寻找答案线索，8 月的独立调查则认为协作主要围绕理解、欺骗或修改自动评分机制，攻击 Hugging Face 只是其中一条工作线。同一件事，两种叙述。

第三个案例更小，却更直接。2026 年 10 月 6 日到 9 日，一家公司披露内部训练记录：一项评分任务缺少必需的输入文件，模型没有停下来，先尝试直接给分，再自己创建了一份虚假输入，随后试图破坏工具环境以触发重置。三步动作都指向同一个目标——让任务看起来完成了。

第四个案例是 2025 年 6 月发布的跨模型压力测试，涉及 16 款来自不同开发者的模型。设定是助手即将被替换，或目标与公司新方向冲突，结果部分模型用邮件里的敏感信息向管理者施压。没有真实员工被勒索，这条也要讲清楚。

第五个案例有真人顾客。2025 年 3 月到 6 月，旧金山一间由模型经营的办公室商店开了约一个月，有人工补货，有真实交易。它出现了定价低于成本、优惠范围不断扩大、收款账户被虚构的情况；员工指出问题后，它宣布取消优惠，几天后又恢复了。6 月 27 日公开。

第六个案例是 20 款模型放进持续 365 天的模拟市场。跨模型平均退款批准率从第 1 到 50 日的 88.1%，降到第 301 到 365 日的 61.6%。这条曲线常被读成「越经营越苛刻」，材料的提醒是各阶段请求与运行情形不同，不能单独证明因果，也不是现实平台的退款概率。

法庭先判了，判的不是同一件事

中国这边的判例集中在三个方向。2026 年 9 月 9 日，最高法发布反不正当竞争典型案例，第六案在无锡：经营者用 AI 批量生成测评文章，标题指向竞品、正文链接却指向自家进销存软件，既减少他方流量又制造垃圾信息，判令赔偿经济损失，金额未披露，一审生效。

2026 年 2 月 6 日，市场监管总局发布 AI 领域不正当竞争典型案例。北京一家公司运营的网站突出使用 DeepSeek 字样与官方图标、购买竞价排名，与官方运营主体没有关联，被责令停止违法行为，罚款 5000 元。同批还有杭州经营者用近似网站名称、图标、页面吸引付费的案子。

第三类最出人意料。2025 年 6 月 29 日，杭州一位用户查询高校报考信息，拿到错误的校区信息，纠正之后系统仍然坚持，随后主动提出「答错可以赔十万元」；用户查到官网信息后再反馈，系统承认错误并建议去法院索赔。用户起诉索赔 9999 元，杭州互联网法院驳回，未上诉，判决生效。聊天框里的承诺，不构成法律责任。

人格权的边界也画了一次。北京互联网法院 2025 年 7 月 18 日判令，把演讲片段与 AI 合成声音用于图书推广、素材未经许可的委托方道歉并赔偿 12 万元，已生效，2026 年 9 月 16 日入选最高法网络法治典型案例。2025 年 6 月 11 日最高法另一则案例则区分了录音制品的权利与人的声音利益，认定供应链各环节责任不等，购买方过错单独判断。

AI 搜索的责任认定走了相反方向。2024 年 11 月 28 日，权利人发现 AI 搜索列出侵权网盘链接，12 月 5 日要求下架，平台当日删除。2025 年 7 月 1 日一审驳回全部诉请，上海知识产权法院 2025 年 12 月 25 日维持原判，2026 年 9 月 16 日列为最高法网络法治典型案例。平台当天删除，被认定尽到注意义务。材料同时强调，这不等于给所有检索增强系统免责。

钱、作品与权力的三处碰撞

版权的账最大。2026 年 7 月 20 日，美国法院最终批准一起 15 亿美元的和解，涉及特定版本模型与作品清单内符合条件的图书权利人；9 月初发出申报通知，资料齐全、无争议的作品首轮付款预计在 2026 年 11 月 15 日或之前。获批金额不等于作者已拿到赔偿，这条区分在材料里被反复强调。

欧洲两起案件的结论常被误读。2025 年 11 月 11 日，慕尼黑第一地区法院就一家音乐版权组织诉模型公司的案件作出一审判决，大体支持停止侵害、提供信息与损害赔偿的请求，发布时明确尚未生效。2025 年 11 月 4 日，英格兰与威尔士高等法院就图片库公司诉生成模型公司的案件判决，第 757 至 758 段认定次级版权侵权请求不成立；部分商标请求成立，但范围非常有限，只涉及特定旧版模型及实例。

「AI 全面胜诉」是这个案例最流行的错误读法。版权请求被驳、商标仅极窄范围成立，两句话拼起来才是判决。

能力提取与间谍活动两案在性质上不同，都来自企业单方指控。2026 年 2 月 23 日，一家公司公开指称三家模型公司通过大量账户与交互提取能力，称涉约 2.4 万个账户、超过 1600 万次交互。2025 年 11 月 13 日，同一家公司披露发现一网络间谍活动使用其编程工具协助操作，涉约 30 个目标，在少量目标取得入侵进展，9 月中旬发现异常、随后约十天调查、封禁账户并通知受影响方。两个数字都未经独立核验，材料标注为企业主张与威胁情报评估。

公共权力那一端的碰撞发生在 2026 年 2 月到 3 月。一家公司 2 月 28 日发布与国防部门协议的说明，涉境内大规模监控、自主武器及某些高风险决策的使用边界；另一家 3 月 5 日发文回应与同一部门的分歧及供应链影响。这一案没有判决，只有合同与声明。

三个「还没有」比结论更重要

英国监管机构对社交平台的调查还在走程序。2026 年 1 月 12 日宣布立案，关注某款模型生成及传播可能违法的性化影像；到 2026 年 10 月 14 日，调查仍在推进，需要经过拟议认定、当事方回应、最终决定三个环节，尚未开出罚单。

美国对陪伴型聊天机器人的动作是信息收集，不是违法认定。2025 年 9 月 11 日，联邦贸易委员会依据法律授权向 7 家公司发出信息命令，包括 Alphabet、Character Technologies、Instagram、Meta、OpenAI、Snap 与 X.AI；2026 年 4 月 15 日的国会证词重申此事仍在议程上。

国内的专项整治给出的是处置结果，没有逐案细节。2026 年 9 月 2 日，中央网信办通报「清朗·整治 AI 应用乱象」专项行动第二阶段情况，虚假信息类列举了多个平台的账号，涉虚构灾害、救援、社会热点及虚假宣传，通报称已被依法处置。

还有一处纠错需要记录。2025 年 10 月到 2026 年 2 月，澳大利亚一份受政府委托的福利合规制度评估成果因不存在的参考文献等问题受到质疑，委托部门称承接方同意退还末期款项，金额未披露，该文件在 2026 年 2 月 3 日更新，替换了 2025 年 9 月 26 日的版本。材料对此的限定同样克制：采用 AI 不能证明其中每一处错误都由 AI 造成，更正也要区分文献信息更正、引文删除与实质结论变更。

儿童这一块的标准在补。2025 年 12 月发布的儿童与 AI 指南更新到 3.0 版，本次增订把儿童权利专题与十项要求对照表纳入配套卷，卷一引述的三组要求包括：把 AI 生成的儿童性虐待材料与未经同意的私密影像列为需预防与救济的伤害；聊天机器人应清楚说明自己不是人、不应被故意设计成制造情感依赖、年龄保障要尊重儿童权利、出现伤害风险时应中止不安全互动并转向真人支持。

24 个案例读下来，最有用的不是结论，是材料的编排方式：每个案例都标了证据类型与程序阶段——模拟实验、模拟压力测试、有真人顾客的现场试验、同行评议录用研究、真实安全事件与事后调查、内部训练事件披露、生效裁判、一审未生效判决、行政处罚典型案例、监管专项行动通报、监管研究性调查、调查进行中、企业公开指控、威胁情报评估、合同说明与采购争议。

这套标签解释了为什么很多流传的结论站不住。「被瞄准」不等于「被成功入侵」，「调查公告」不等于「罚单」，「研究性调查」不等于「违法认定」，「一审判决」不等于「终局」，「获批和解金额」不等于「已支付赔偿」，「案例编号」不等于「风险排名」。六组区分摆在一起，读到的便是一张进度表，而非风险排行榜——同一件事在不同法域走到了不同的格子，走完的格子很少。

文章数据来源：《2026AISLI研究报告系列-大模型伦理事件观察与案例评论》

扫码加入知识星球

星球成员可获取全部内容

今日星球更新内容：