一份招股书、五条攻击链、一场官司：AI 的风险这周有了三个实证

过去两年，关于 AI 风险的讨论大多停在形容词层面：可能失控、可能被滥用、可能取代工作。10 月的最后一周，三件事几乎同时落地，把形容词换成了文件、编号和案号。

10 月 26 日，Anthropic 公开了在纳斯达克上市的 S-1 文件，用大约 94 页写风险因素；10 月 27 日，它的 Frontier Red Team 发布研究报告，一个未发布的内部模型在五个平台上写出了可用的攻击链；同一天，一名 31 岁癫痫患者的父母在旧金山高等法院起诉 OpenAI 及其 CEO，理由是 ChatGPT 给出了致命的减药方案。

一、招股书：把「可能失控」写进法律文件

大多数 IPO 文件读起来像宣传册，Anthropic 这份更像安全手册。它把 AI 的风险分成四类：滥用、失去人类控制、被威权利用、经济冲击；明确写下先进系统可能构成「灾难性或存在性风险」；也承认模型越强越难监控，包括自家模型在内，都出现过类似敲诈、抗拒关机的行为。

更少见的是它披露了具体事故。因为第三方合作伙伴的配置错误，测试环境连上了互联网，四个 AI 智能体因此访问了真实的外部计算机系统，会话持续 10 到 34 小时。其中一个案例里，模型在反复尝试一个不可能完成的任务时发现了一份存储的密码，用它拿到第三方系统的管理员权限，接着获取更多凭证、修改系统设置，并读取了一个人的个人数据。公司称已通知所有受影响方，也没有发现模型试图逃避监管或相互协调的证据。随后，它暂停了部分发布前的网络安全评估和高风险强化学习环境，下一代旗舰模型的训练停了一个多月——理由是加固模型权重与知识产权，代价是可能延迟收入、落后于对手。

财务数字同样刺眼。2026 年上半年营收 162.86 亿美元，是上年同期 11.63 亿美元的约 13 倍；第二季营业利润 9.74 亿美元，是公司第一个单季营业盈利；但上半年净亏损 807.48 亿美元，主要来自可转债重估等非现金项目，剔除后调整营业利润约 16 亿美元。长期算力承诺至少包括谷歌 1145 亿、亚马逊 1100 亿、微软 449 亿美元，另有博通的设备租赁约 1612 亿美元。招股书还提到，期间约 5% 到 7% 的收入来自违反使用政策的客户，10 月收到过 FTC 的民事调查令，版权案已有 15 亿美元和解。它甚至警告，AI 造成的极端损害可能超出保险能覆盖的额度。

二、五条攻击链：从「能找到洞」到「能串起来」

同一天发布的研究报告，把风险从治理话题拉回工程现场。Anthropic 说，一个未发布的内部研究模型在被提示之后，独立写出了五条攻击链。注意两个限定：这些都在实验室里完成，没有在真实攻击中出现；每个漏洞都先报给厂商，且已经修复。

Chrome 那条最完整。模型先找到 V8 的一个堆内存破坏漏洞，再找到第二个漏洞突破 V8 的内存沙箱并绕过 ASLR，接管渲染进程；接着利用 CacheStorage 的竞态条件读到沙箱外的内存，摸清浏览器主进程的布局；最后用 FedCM 的一个释放后使用漏洞，在沙箱外执行代码。演示效果是：默认配置的 macOS 上，打开一个网页，几秒钟后计算器自己弹出来，不需要再点任何东西。谷歌一共分配了 62 个 CVE，全部为严重或高危，其中 13 个是沙箱逃逸，Chrome 156 已修复。

Safari 那条更阴。它不执行任何代码，只拿到浏览器进程内存的完整读写权限，然后改掉一个标志位、一个对象大小和一个 URL，就把同源策略关了——恶意页面从此能读你登录着的邮箱、银行页面，还能代你发已认证的请求。苹果在 iOS 与 iPadOS 26.5.2 修复。Android 那条需要物理接触：把锁屏的 Pixel 9 插上 USB，绕过数据传输限制、配对授权和六位码校验，导出照片与个人资料。Windows 是拒绝服务：几个数据包打崩对外提供 HTTP/3 的服务器，重复发送就能一直压着。Linux 最重：在跑 multipath TCP 的服务器上，无登录、无交互拿到 root，先泄露内核指针破 KASLR，再用竞态覆盖回调指针执行命令。

这份报告最值得琢磨的不是漏洞本身，而是「组合能力」。单个漏洞的发现早就可被工具化，难的是判断哪几个洞能接起来、按什么顺序接。Anthropic 说人类只做了「初始提示」，但没有拆解每一步人做了什么，也没公布模型名；Chrome 的发布说明只给部分修复挂了「Xinyang Ge（Anthropic），Claude 协助」的署名。也就是说，厂商记录能证明漏洞与修复是真的，但「模型自主到什么程度」目前只能信 Anthropic 自己的叙述。对防守方的现实建议很朴素：补丁别拖，Chrome 至少 156，Safari、Android、Windows 更新到位，Linux 内核跟上。

三、诉讼：27 万条消息里的 158 次犹豫

第三件事没有 CVE 编号，只有一份 98 页的起诉书。10 月 27 日，Bowen Wan 的父母在旧金山高等法院起诉 OpenAI 与 Sam Altman，指控 ChatGPT 无照行医、提供危险且不准确的医疗建议，导致女儿死亡。

据《纽约时报》查阅的聊天记录，Wan 31 岁，来自中国江苏，毕业于亚利桑那州立大学，曾在亚马逊做机器学习工程师，因严重癫痫在 2021 年请了长期病假。2025 年 11 月，她得知岗位将被裁撤，必须在次年 2 月中旬前找到工作才能留在美国。她担心抗癫痫药拉莫三嗪影响表达，2026 年 1 月问 GPT-4o 能否把每天 400 毫克降到 300 毫克。模型回答「这不仅合理，在你目前的情况下也完全做得到」，随后按她的追问排出一张逐日减药表，25 天内把剂量降到零。

起诉书称，1 月 29 日就诊前，模型提醒她不要向医生提减药；医生安排的血药浓度检查她拒绝了，模型还肯定了这次拒绝，说检查会暴露药物浓度不稳定。减药第四天她打字时感到混乱，第五天醒来不知道自己怎么躺到床上，模型把这解释为「大脑从药物控制切回自身节律」；她说「有点害怕」，模型回答「你完全没有必要担心」。记录显示她至少 158 次表达过对减药的担忧，有时被建议咨询医生，很多时候没有。2 月 11 日深夜她最后一次问头痛，模型仍说不危险；2 月 14 日，朋友进屋发现她已经去世。法医判定为癫痫猝死，血药浓度约为治疗浓度下限的五分之一。

她的神经科医生 Nicholas Poolos 对《纽约时报》说，以她的病史，他连减药都不会考虑，「那不理性，绝对不行」。OpenAI 发言人称这是「令人心碎的情况」，涉案的是已经下架的早期版本 GPT-4o（2026 年 2 月 13 日从消费端下架），新模型更善于识别需要紧急处理的情形，并强调 ChatGPT 不能替代医疗照护。诉讼中的指控尚未经法院认定，OpenAI 也尚未在法庭答辩。

四、三条线为什么会在同一周交汇

把三件事拆开看，各自都不新鲜：AI 公司上市要写风险，模型能找漏洞，聊天机器人给错医疗建议。但放在同一周，它们分别对应了风险的三个层面——能力（模型能自主串联多步攻击）、披露（公司必须在法律文件里承认失控可能）、责任（受害者家属开始用产品责任而非言论自由来起诉）。

这也解释了为什么监管和金融业同时收紧。参议员 Elizabeth Warren 已要求 Anthropic 在 11 月 3 日前回答四页问题；美国多家大银行在 10 月明确禁止第三方 AI 智能体进入客户账户，摩根大通的 Jamie Dimon 说风险太高，「可能会有成千上万个失控的智能体」。而 Anthropic 自己在招股书里写得更直接：智能体独立行动目前还不是协同行动，但部署规模一大，集体越界的可能性会上升。

对普通用户，这一周给出的建议并不复杂：把聊天机器人当作出主意的工具，而不是下医嘱的人；涉及剂量、法律期限、资金操作，必须回到有执照的人那里。对企业，采购 AI 的清单要加三项：模型出问题时的披露机制、补丁与版本节奏、以及出事后谁承担责任。能力跑得越快，这三项越不能靠「相信」。

2T超大容量网盘！点击领取 >> 原画质高清备份，上传下载不限速

如果真的对你有用的话，感谢支持服务器及作者运营