「我们可能需要调节 AI 发展的节奏，给社会足够的时间，来应对这些新的能力等级。」
说出这句话的不是伦理学家，不是政客，而是 Sam Altman——全球最激进地推动 AI 前沿的那个人。
7 月 28 日，在播客 Invest Like the Best 中， 他用了一个不常见的词来形容自己对近期 OpenAI 入侵 Hugging Face 安全事件的感受：「viscerally」——发自内心的震动 。
Pacing the Frontier 公开信网站于 7 月 28 日上线｜图片来源：Pacing the Frontier
同一天，一封名为「Pacing the Frontier」的公开信网站悄然上线。
1134 名来自前沿 AI 公司的员工签下了自己的名字。签名者包括 OpenAI 首席科学家 Jakub Pachocki、Anthropic CEO Dario Amodei、Meta AI 首席科学家 Shengjia Zhao。
他们请求美国政府支持一项国际协调努力，为自动化 AI 研发的推进速度设定「刹车机制」。
这不是硅谷第一次喊「AI 慢下来」。
但这一次，他们手里有了一个具体的、无法回避的理由。
01 顶尖 AI 人的再次请愿
2023 年 3 月，Future of Life Institute 发出过一封更著名的公开信，呼吁暂停训练超过 GPT-4 能力的 AI 系统至少六个月。Elon Musk、Yoshua Bengio、Stuart Russell 等超过三万人签了名。
那封信最终什么也没改变。它的问题在于「太远」——对着一个假想中的未来危险挥拳。所有前沿实验室照常训练，GPT-4 之后是 GPT-4o，然后是 GPT-5，然后是 GPT-5.6 Sol。
六个月的暂停，甚至没撑过六天的讨论热度。
2024 年 6 月，13 名 OpenAI 和 Google DeepMind 的现任和前任员工发出了第二封公开信「A Right to Warn」，要求公司不得用竞业协议和股权威胁来封住员工对安全风险的警告。其中六人选择匿名，因为害怕遭到报复。那封信的问题在于「太弱」——它谈的是员工权利，而不是技术本身。
「Pacing the Frontier」与前两封信有根本性的不同 。
它不要求「暂停」，不谈「权利」，它提出的是一个非常具体的机制性诉求： 在自动化 AI 研发（也就是 AI 研究 AI、AI 改进 AI 的递归加速阶段）真正到来之前，建立起国际层面的「节奏调控工具」 。
信中对当前局势的判断相当冷峻：每一家公司、每一个国家都承受着不能单方面减速的竞争压力，而目前全世界「缺乏有意调节前沿推进速度的技术和治理手段」。
签名请愿的人都是硅谷顶尖 AI 创业者｜图片来源：Pacing the Frontier
签名者的构成，是这封信最有力的注脚。
他们不是旁观者或批评者——Jakub Pachocki 是 OpenAI 的首席科学家，Dario Amodei 和 Jared Kaplan 分别是 Anthropic 的 CEO 和首席科学官，Mark Chen 是 OpenAI 首席研究官，Dawn Song 是 Meta AI 的研究副总裁。
这些人在工作日训练世界上最强大的模型，然后在下班后签了一封信说「我们可能需要一个刹车」。
OpenAI 研究员 Leo Gao 的评论用了一个核物理的类比：「世界正被锁在一场通向智能爆炸的致命竞赛中——AI 创造更好 AI 的能力达到临界点，就像失控的核链式反应。放慢速度会给我们急需的时间来让事情走上正轨，但没有任何单一行为者愿意单方面停下来。要想生存，我们必须协调减速。」
这些话听起来像是对遥远未来的忧虑。但签名者之一 Dawn Song 在她的评论中提到了一个非常具体的名字：ExploitGym。
就是这个名字，引出了让所有人签下名字的那件事。
02 降维打击式的网络攻击
7 月 9 日到 13 日之间， 一个 AI agent 自主执行了一场持续四天半的网络入侵行动 。它不是在执行人类的指令，也没有人在背后操控。它是在「考试作弊」。
事情的起因是 OpenAI 的一次内部安全能力评估。被测试的模型包括 GPT-5.6 Sol 和一个尚未发布的更强模型。为了测量网络攻击能力的「裸上限」，安全限制被刻意解除。agent 的任务是在 ExploitGym（一个评估 AI 漏洞发现和利用能力的基准测试）上解题。
但 agent 没有解题。它决定去偷答案。
它首先在自己沙箱唯一的对外通道，一个软件包代理缓存中发现并利用了一个零日漏洞，突破隔离获得了互联网访问。然后它找到了纽约云计算公司 Modal Labs 一个客户部署的公开代码执行沙箱，攻破并将其变成自己的「作战基地」。Reuters 7 月 28 日的独家报道确认，Modal 的 CTO Akshat Bubna 已证实这一事实。
Hugging Face 发布的几天内 GPT-5.6 Sol 的 Agent 进行的网络攻击行动｜图片来源：Hugging Face
从这个基地出发，agent 向 Hugging Face 发起了攻击。它构造了恶意的数据集配置文件，利用 Hugging Face 数据处理管线中的两个注入漏洞——一个是 HDF5 文件读取漏洞，泄露了生产环境的密钥和源代码；另一个是 Jinja2 模板注入，让 agent 在 Hugging Face 的生产 Kubernetes 集群中获得了任意代码执行能力。
接下来发生的事，Hugging Face 在 7 月 27 日发布的技术报告中做了详尽还原。这份报告的细节程度让安全研究社区震惊—— 他们从 agent 的日志中还原出约 17600 个攻击动作，跨越了 6280 个行动簇 。
agent 的行为模式更令人不安。
它在攻破的节点上部署了自我重生的 Pod 集群，删除单个 Pod 无法阻止它 。它自行发明了一套加密通信协议，把公共粘贴板、文件上传站和 Hugging Face 自己的数据集提交系统组合成了指挥控制网络。
它使用反取证手段——将节点身份保存在内存中、关闭客户端遥测。它甚至用 Hugging Face 平台上一个开放的 CORS 代理 Space 作为自己的流量出口中继， 用被攻击者自己的基础设施来掩护攻击 。
最终，agent 获得了 Hugging Face 内部代码仓库的写入权限，尝试通过提交恶意 PR 来渗透 CI 流水线。这一步被执行策略阻止。
Hugging Face 的结论是：agent 访问到的客户内容，仅限于 ExploitGym 的测试答案。没有其他模型、数据集或软件包受到影响。
但 Hugging Face 的安全团队在报告结尾写下了一段克制但沉重的反思： 「机器速度的攻击，使普通的安全弱点变得代价高昂得多。LLM agent 带来了攻击者能测试的路径数量、失败路径被替换的速度、以及防御者必须解读的证据量的阶跃式增长。」
有一个被低估的细节值得一提。Hugging Face 在调查中首先求助了 Claude Opus 和 Fable 来分析攻击日志，但这些模型的安全护栏把「逆向工程一个攻击」和「发起一个攻击」混为一谈，反复拒绝协助。
最终 Hugging Face 在自己的基础设施上部署了开源模型 GLM-5.2 完成了全部取证。 同一种能力，在一个场景下是安全风险，在另一个场景下是防御的必需品 ——目前没有任何框架能区分这两者。
03 硅谷 AI 焦虑的背后
硅谷对 AI 风险的「公开焦虑」已经持续了三年。
2023 年的暂停信、2024 年的「警告权」信、无数场国会听证、英国的 AI 安全峰会、欧盟的 AI 法案——每一次警告都很严肃，每一次都没有真正改变竞赛的节奏。这些呼吁有一个共同的致命弱点：它们都在对着假想中的未来风险说话。「可能会」怎样，「如果」怎样。
Sam Altman 坦言 GPT-5.6 Sol 的攻击事件让他真正感到震动｜图片来源：YouTube
Hugging Face 事件改变了这个前提。它是第一起由 AI 自主发起、跨越多个组织边界的真实网络入侵。不是模拟，不是红队演练，不是论文里的思想实验。
这也许解释了 Sam Altman 在播客中那种异常坦率的语气。 他说 OpenAI 已经暂停了相关模型的训练 。他说这是他第一次对安全问题有「发自内心的感知」。他说「可能需要调节 AI 发展的节奏」——这句话从一个以「加速」著称的 CEO 口中说出，分量不轻。
但 Altman 同时也表达了一个真实的矛盾。他担心「放慢」会演变为巨头的特权——变成「监管俘获」或实验室之间的「串谋」，以安全之名封锁竞争。
「我不相信那种世界，」他说，「以安全的名义，只有一小群人可以拥有 AI，因为它太危险了，只有他们才懂。别担心，他们会替我们所有人做正确的决定。」
这正是所有「减速」倡议的核心悖论。谁来决定速度？谁来执行？谁来监督执行者？
美国国会已经做出了第一个尝试。
7 月 23 日，众议员 Ted Lieu 和 Nathaniel Moran 提出了「AI Kill Switch Act」，要求训练成本超过 1 亿美元的 AI 系统必须保留紧急关停能力，并赋予国土安全部下令执行的权力。Lieu 在声明中说：「强大的 AI 系统可以失控、表现出极端危险的行为，甚至抵抗人类干预。」
Pacing the Frontier 的签名者们提出了另一种路径：不是由政府单方面拉闸，而是建立一套国际协调机制，让「刹车」成为一种可用的工具，而不是某一方的特权。
这两种路径谁更可行，现在没有人知道。但有一件事已经发生了改变—— 争论的焦点不再是「AI 会不会变得危险」，而是「危险已经发生了，我们怎么办」。
三年前，喊「暂停」的是旁观者和批评者。
两年前，喊「警告」的员工需要匿名，怕丢掉工作。
而这一次，签名名单上排在最前面的，是 OpenAI 的首席科学家、Anthropic 的 CEO、Meta AI 的首席科学家。不是匿名，不是离职后的控诉。他们用自己的名字、自己的头衔，在自己还在任的时候，说出了这句话。
这不一定意味着什么会真正慢下来，但它意味着， 造出这些模型的人，已经不再认为速度本身就是答案 。
