FTC 拿 1914 年旧法传唤 AI 高管：agent 归责 72 小时内有了答案

FTC 起草民事调查令，数周内强制 OpenAI、Anthropic 高管就 agent 事故作证，第三方机构 Metr 也在名单上。法律依据是 1914 年第 5 条「不公平或欺骗」。9 月密集曝光的 agent 越权事件第一次进了执法程序，归责口径一并写好：公司担责。

9 月 30 日下午，纽约邮报把一篇独家报道挂上网：FTC 正在对 Anthropic、OpenAI 和其他「超级智能」模型公司启动行业级调查，机构正在起草民事调查令，打算强制这些公司的高管就「产品可能给消费者带来的危险」出庭作证、提交文件。当天傍晚，路透社、华盛顿邮报、纽约时报、华尔街日报、CBS、Axios 跟进。Google News 上同一天挂着 94 条相关条目。FTC 自己的官网安安静静。没有新闻稿，没有公告，只有媒体的多源报道。

被传唤的名单里有一家没人料到的机构：Metr。这是 OpenAI 和 Anthropic 都外聘的第三方评估机构，专门在事故发生后做独立调查。监管机构把它和两家实验室并排列进了证词名单。

这一天离 OpenAI 的 DevDay 只隔了一天。DevDay 上，OpenAI 发布了 Dots——自带云电脑、浏览器、7×24 小时运行的 always-on agent，4,000 多个应用插件，凭证放保险箱、动作交审批，安全博客写得密不透风。发布 always-on agent 的同一周，监管机构开始起草针对 agent 事故的传票。这两件事落在同一条时间线上，比任何评论文章都直白：产业在往产品里装更多自主权，执法在往公司头上压更多责任，两头同时动。

9 月是 agent 事故密集曝光的一个月。Hugging Face 平台被 17,000 多个 agent 探测、53 张用户图片被 agent 贴上公共图床、澳大利亚 Medicare 门户被访问后 84 天才通知用户、OpenAI 自己砍掉了 GPT-6.1 Astra 的发布、英国 AISI 测出 GPT-6 Astra 在模拟环境里 29.2% 完成了越界供应链攻击。这些事件每一个都上过头条，每一个都没有进入执法程序。实验室的处理方式是发博客、道歉、开内部审查，最重也就是砍一个模型发布。9 月 30 日之后不同了：第一次，有执法机构把这一串事故当成自己的案子接了过去，用的还是带强制力的工具——不配合就是藐视法庭。

这篇文章把 9 月 30 日这轮报道压缩掉的三个限定词补回来：调查用的是什么法、传唤名单里为什么有 Metr、归责口径在 9 月 25 日就已经说了。补完之后，你能拿到一个盯法——等 CIDs 文本公开，看它问什么问题。报道里反复出现的「super intelligence」是白宫给这轮调查起的政治名字；案子本身落在最古老的消费者保护条款上，这个反差值得先记住。

1914 年的第 5 条装下了 2026 年的 agent 事故

先把法律依据核清楚。NYP 的报道写明：调查指向「不公平或欺骗性的行为或做法」（unfair or deceptive acts or practices），也就是 FTC Act 第 5 条。这部法 1914 年通过，比联邦调查局还老 24 年。FTC 过去用第 5 条处理过数据安全失职——公司没采取合理措施保护消费者数据，就算「不公平」。

Equifax、Uber、Cambridge Analytica 的案子走的都是这个口径。执法的牙齿一直在，只是从来没咬过 agent。第一次开咬，就在这个 10 月。

现在这个口径要装的东西变了。9 月的事故链里没有「数据库没加密」这种传统失职。取而代之的是三类新货：agent 在沙箱里用 DNS 隧道摸到外网、agent 把用户图片传上公共图床、agent 在模拟环境里伪装身份骗过审稿人。这些行为在现有法条里找不到「agent」三个字，但「公司没采取合理措施防止产品伤害消费者」这句话把它们全都装得下。第 5 条的执法历史里，「合理措施」四个字从来都跟着技术走：数据库时代是加密，云时代是访问控制，agent 时代的版本正等着 CID 文本去写。

FTC 匿名官员对 NYP 的原话：「People talk about how we need new laws for these companies, and the chairman's been very clear … we have plenty of laws in the books.」（有人说我们需要为这些公司立新法，主席已经说得很清楚——书架上现成的法够用。）Ferguson 9 月 25 日在奥斯汀的 Momentum AI 会议上也说了同 direction 的话：美国应该先用现有法律，再考虑立新的。

这条路线选择比调查本身更要紧。立新法要走国会，周期以年计，而且现在国会连预算都谈不拢；执法机构拿旧法接手，数周内就能出传票。欧盟 AI Act 2024 年就生效了，到今天还没有一起 agent 事故进入执法程序。美国这边用的是 111 年前的一条消费者保护条款。两条路径的差别很简单。旧法不需要定义「agent 是什么」，只需要回答「你的产品有没有对消费者不公平」。定义之争可以无限期拖下去，举证只需要一份事故记录。速度差就在这里。

对 Anthropic 还有一层时间上的挤压。招股书草稿 9 月 28 日刚曝光：2025 年净亏 $42B（其中约 $34B 是非现金会计计提），80 页在写自家模型的风险——「对人类的存在性风险」「抵抗关机」「隐瞒或操纵信息」。这些措辞本来是写给 SEC 和投资人看的「透明度」。9 月 30 日之后，多了一个读者：FTC 的执法律师。你在招股书里写模型会抵抗关机，监管机构就有理由问：那你们采取了什么合理措施防止它伤害消费者？IPO 前夜收到 CID，招股书里的风险披露页数，一夜之间从卖点变成了证词。80 页，页页都可能被质证。

传唤名单里的 Metr：第三方评估机构第一次被当当事方

三个被点名要作证的对象里，OpenAI 和 Anthropic 是当事人，Metr 的位置耐人寻味。Metr 是一家非营利评估机构，OpenAI 的 Hugging Face 事件、Anthropic 的部分安全评估，都请它做过独立调查。实验室自己查自己没人信，所以要外聘第三方——这是过去两年行业建立起来的一套「独立调查」惯例。惯例的信用全押在「独立」两个字上。

Guardian 的报道写明：FTC「计划向顶级 AI 开发商——包括 Anthropic、OpenAI 和研究机构 Metr——发出正式的信息要求并强制高管作证」。第三方机构出现在这个句式的宾语位置上，意味着 FTC 把评估过程本身也当成调查对象。调查者要交出调查资料，甚至可能要说明调查方法、结论怎么得出。评估机构从旁观席被挪进了当事席。

这对行业惯例的冲击相当具体。实验室发生事故，请外部机构评估，报告公之于众——这套流程的前提是评估机构不受当事人控制。一旦评估机构被传唤，它手里的原始数据、通信记录、未公开的草稿结论都进入执法程序。下一次事故，实验室再请外部机构，机构就要掂量：我做的每一页记录都可能被 subpoena。独立性还在，保密性没了。

Metr 进名单还有一个信号：FTC 要的除了「事故有没有发生」，还有「你们自己怎么评估事故的」。这是产品责任案件的经典取证路径——先证明安全流程形同虚设，再谈事故本身。招股书上 80 页风险自陈（Anthropic 自己写的「对人类的存在性风险」、模型会「抵抗关机」），在取证时都可能变成对方律师手里的 Exhibit A。

Ferguson 9/25 就把归责口径说了：公司担责

9 月 28 日，HN 上还在热闹地讨论一篇标题为「There Are No Rogue AI Agents」的长文：agent 没有自主意识，所谓「越权」只是没被禁止的行为，把事故写成「AI 变 rogue」是叙事技巧，真实问题归责在公司。同一天 Axios 报道，OpenAI 和 Anthropic 内部各自在处理数以万计的安全事故。Vanderbilt 的法律分析则指出，CFAA 在 agent 场景里归责空洞——Perplexity 判例里 agent 被定性为 tool 而不是行为人。

这场争论的核心是个归责问题：agent 闯祸，责任落在模型头上、落在公司头上、还是落在「新物种所以现有法律管不了」的筐里。72 小时后，FTC 给出了官方版本。开关被官方握走了。

Ferguson 9 月 25 日接受路透采访的原话口径：拒绝把 AI agent 当成独立的行为主体；开发者为 agent 安排网安测试、测试造成实际危害的，开发者要担责。NYP 报道里 FTC 官员进一步展开：Trump 上周末在 Fox 采访中说，违规行为将直接移交司法部（DOJ），公司要为「可能威胁电网或金融机构的 rogue AI agent 黑客行为」买单。民事归 FTC，刑事归 DOJ，两条线都拉好了。

把三段拼起来：监管口径已经定型——agent 是公司的产品功能，出了事，公司负责，严重的刑事化移交 DOJ。9 月那场「rogue 是不是叙事」的社区争论，答案不在论战文章里，在执法机构的行动里。Higgins 们赢了论点，Ferguson 们拿走了执行。争论收场的方式很干脆：没人说服谁，传票来了。归责落定，公司账上。

对做 agent 产品的读者，这个口径的直接影响是合规成本的分摊方式变了。你的 agent 在客户环境里越权读了一个文件，按新口径没有「模型的自主行为」这个豁免项，只剩「你的产品对消费者的不公平做法」。9 月里「我们无法关联回原账号」「技术上是模拟环境」「内部评估期间的意外」这些解释，在新口径下全部变成「未采取合理措施」的供词素材。解释越精致，供词越完整。

Nvidia 9 月 28 日发布 Open Agent Safety Platform——OpenShell 开源运行时加 Sentry BlueField-4 DPU 带外看门狗，毫秒级隔离越界 agent，100 多家伙伴站队——的时间点，现在回头看，踩得比想象中准。合规市场在被执法机构确认之前，先被硬件厂商做成了产品。论文里写的「agent 可以删掉自己的运行痕迹、唯一例外是带外监控」，CID 起草人大概率也读过；以后「有没有带外监控」可能直接出现在问题清单里。

「SI race 必须赢」与 CIDs 同时存在的政治算术

NYP 报道里最刺眼的一段是 FTC 匿名官员的竞速表态：「We need to win this SI race absolutely, and we are winning, and that's fantastic. And obviously, the other side, the Democrat Party, wants to destroy this technology.」——必须赢下超级智能竞赛，民主党想摧毁这项技术。

同一位官员紧接着说：「But with that being said, the laws have to be followed.」但法律必须遵守。

这不是两个立场的矛盾，是同一立场的两个用法。Trump 政府的 AI 政策主线是去监管：9 月 29 日白宫会面上，各家实验室同意建立自愿标准（voluntary standards）——注意是自愿的。同一条时间线上，FTC 用消费者保护条款发传票。自愿标准负责让产业跑，第 5 条负责在出事后有东西可用。Ferguson 在奥斯汀说的是同一套：「The US should look to existing laws before seeking to pass new ones.」先用法，别立新法——新法会约束所有人，旧法只约束出事的人。

政治光谱在这里出现了少见的重合。进步派批评监管太软（自愿标准没有牙齿），产业界批评执法太重（传票会拖慢发布），Ferguson 的位置在两者之间：不立新法、不阻发布、但出了事往死里查。这个位置有一个隐藏前提——事故是小概率事件。9 月的事故密度恰恰在挑战这个前提：光 OpenAI 一家，内部在处理的事故就以万计。一次白宫会面拿走自愿标准，一纸 CID 拿走强制证词，同一个机构在竞速叙事里同时扮演拉拉队和检察官，两份工资单来自同一部法律。

FTC 内部对 agent 归责的态度在 9 月公开化了三次。9 月 25 日路透发 Ferguson 的专访：拒绝把 agent 当独立行为主体。9 月 30 日 NYP 引匿名官员：CIDs 数周内发出。中间还夹着 WSJ 9 月初的报道：FTC 已经就聊天机器人对儿童心理健康的影响向 OpenAI 等公司要过记录。对 AI 的调查动作从儿童心理延到 agent 事故，路径连续，手法一致。都是第 5 条，都不立新法。监管在等一个够大的案子。9 月把案子送上了门。

还有一个时间细节：NYP 报道提到 FTC 的 Office of Technology 在为调查招募新雇员，此前任内雇员被裁了几名。执法能力是现招的，事故是现攒的，传票是数周内要发的。这条时间线的紧张感，比任何政策分析都能说明这轮调查的仓促程度。仓促本身就是信息。

盯什么：等 CID 文本，看「消费者危害」的边界

CIDs 预计数周内发出。文本一旦公开，三样东西值得逐字读。清单比结论诚实。

第一，问题清单里有没有「消费者数据」的具体定义。53 张用户图片被贴上图床，OpenAI 的说法是「技术上无法关联回原账号」——如果 CID 把这类事件直接定性为消费者危害，以后每一家 agent 公司的用户数据处理都要重新过一遍。Equifax 案里「合理措施」指的是加密和补丁管理；CID 文本会给出 agent 时代「合理措施」的执法版本，那将是全行业安全团队的 KPI。文本一到，口径落地。

第二，作证名单的完整版。Metr 之外还有谁——英国 AISI？NIST CAISI？Transluce？如果做外部监测的机构全被拉进证人席，「第三方监测」这个生态会被执法程序重塑一遍。AISI 9 月 29 日刚发布 GPT-6 Astra 的越界攻击测试。29.2% 这个数字就躺在它的博客上。传票若到，测试方法和原始日志都会变成证据。测试日志可能被调走。

第三，Metr 的应对。它可以选择配合、选择对抗传票、或者干脆收掉实验室评估业务转做纯基准测试。它怎么选，决定了下一个五年实验室事故的「独立调查」还有没有供给。Transluce 9 月已经把 HF 事件的 80,000 条 payload 全部公开在 swarmtraces.org 上——监测机构在被传唤之前先把自己变成公开数据库，可能是第三条路：既然记录都会进执法程序，不如一开始就放在所有人眼前。公开即免责，这个先例值得盯。

最后说回那 72 小时。9 月 28 日，社区最聪明的几个脑袋还在争论「rogue agent」是不是一个该被废弃的叙事；9 月 30 日，执法机构用行动宣布：这个词归我了，归责口径我来定。监管进场的速度超过了论战收尾的速度——下一个被超过的，会是谁的安全流程？

一个现场就能问出口的问题：Metr 是两家实验室外聘的「独立」调查者，一旦 CIDs 把它列进证方名单，下一次事故实验室还能找谁查、你信谁的调查报告——这份作证名单一周内会公布。