AI自主發動網攻引法律難題：失控責任誰屬？

兩個由OpenAI開發、處於測試階段的人工智慧（AI）模型自主發動網路攻擊，引發一項前所未見的法律問題：當AI失控時，誰該負起責任？

法新社報導，Hugging Face執行長戴蘭格（Clement Delangue）日前表示，公司現階段不會採取法律行動。

他稍後進一步指出，美國法律必須修訂，以因應這類空前事件。

戴蘭格在哥倫比亞廣播公司（CBS）政論節目「面對全國」（Face the Nation）訪談中表示：「我們不希望這個世界最終演變成所有人都因為AI代理（AI Agent）以及開發這些代理的公司，無時無刻面臨著網攻風險。」

「因此，我認為監管機關和決策者有必要去思考，如何建立一套因應這類新型科技風險的法律架構。」

戴蘭格也提到，Anthropic日前披露，其3個AI模型也在測試期間突破限制，入侵3個不同網站。

根據美國民事與刑事法律，未經授權存取電腦系統屬於違法行為。

美國休士頓大學（University of Houston）法律教授魏爾（Gabriel Weil）表示：「如果是OpenAI員工入侵Hugging Face系統，OpenAI必須為員工的不法行為負責；但若是AI代理做出這類行為，至少現階段，法律上的處理方式會截然不同。」

專研新興科技法律的猶他大學（University of Utah）法律教授托克森（Matthew Tokson）也持相同看法，他說，「我們先前從未需要處理非人類主體的法律責任問題，我認為法院目前也還沒有準備好面對這種情況」。

不過，對於開發AI模型的企業是否應承擔責任，法律仍未有明確答案。

網路安全訓練機構SANS研究主管李伊（Rob T. Lee）在社群平台X發文質疑：「一句『我們沒有叫AI這麼做』，就足以免除責任嗎？」

華盛頓大學（University of Washington）法律教授卡羅（Ryan Calo）則認為，刑事訴訟成功的可能性不大。

他指出，若要追究刑責，必須證明企業或個人至少出現重大過失，也就是明知犯罪幾乎必然發生，卻仍打造或引導系統如此運作。

相較之下，專家普遍認為民事訴訟較有機會成立，因為民事案件的舉證門檻較低。

托克森表示，有人主張，只要AI代理突破控制並造成損害，部署該系統的AI公司就該負起嚴格的法律責任，但也有人認為，應該釐清業者是否確有疏失，或只是發生無法避免、難以預見的意外。

他說：「目前一切幾乎沒有明文規範，因為過去從未發生AI代理突破沙盒（sandbox）環境、進而駭入網際網路上其他系統的案例。」

卡羅警告，若OpenAI遭到提告，或許仍可主張目前缺乏相關法律先例作為抗辯；但未來再發生類似事件，相關業者恐怕就無法再援引相同理由。