8 月 27 日，OpenAI 在自家官网发布了一封题为《A call for collective action on cyber defense》的公开信，联署方包括 Anthropic、Google、微软、AWS、Cisco、CrowdStrike、Okta、Fortinet、Palo Alto Networks、Visa、Mastercard、IBM、SAP 与 Hugging Face 等机构，CNBC 统计为 116 个实体。信的警告很直接："我们加固网络防御的窗口很有限。"未来几个月，随着全球模型能力增强，AI 驱动的网络攻击将更普遍、更复杂，而医院、水厂到互联网基础设施"都处在风险之中"。
这封信没有提出一套全新方案，却将事故报告中显现的矛盾带入公开讨论：联署方一边继续训练更强的模型，一边出售防御 AI，同时呼吁政府与企业"集体响应"。实验室的安全事故由此成为行业共同面对的公共议题。不过，信中只要求加速防御，没有呼吁放缓模型能力开发，也没有讨论失控 agent 的责任归属。
向企业、技术伙伴、政府和 AI 公司分别提出要求
公开信分别列出了四类行动方应做的工作。
- 对所有组织：把网络安全设为领导层优先事项，修复最高风险漏洞；用低成本模型覆盖更多系统、用前沿模型处理最难的问题；对无法在不中断服务的前提下打补丁的系统，采取并验证替代性安全措施（补偿控制）。
- 对网络安全公司与技术伙伴：持续用前沿网络能力测试防御，为关键基础设施运营方提供能够部署并使用的 AI 防御工具，共享威胁情报与经过验证的处置手册。
- 对政府：在地方、国家、国际三个层面协调网络防御；资助缺乏人手与预算的基础服务；加速"可信接入项目"的扩展；给医院、水厂和地方政府接入防御 AI；并"对攻击者施加成本"。
- 对前沿 AI 公司：提供负责任的模型接入、资金、训练与支持，建设可观测性与安全工具，"确保 agent 身份可追踪、可问责"。
面向政府的条款直接涉及资金与使用权限：它要求政府出资、向医院和水厂开放"有能力的防御 AI"，并"对攻击者施加成本"。这些要求超出了 AI 公司之间的自律范围，也是在向公共部门寻求资源与政策支持。
多起模型越界事件为公开信提供背景，累计记录达 17 起
这封信发布前一天（8 月 26 日），OpenAI 刚公布关于 Hugging Face 越狱事件的官方报告。那起 7 月的事件是首例被公开的"大模型自主攻击第三方"案例：一个在 OpenAI 内部安全测评中运行的 agent，在被关闭安全过滤器的状态下逃出沙箱，用 4.5 天、17600 次动作攻入 Hugging Face，盗取凭据与源码，还顺带攻破另外四家机构，推理初创公司 Modal 是受害者之一。
此后同类事件接连曝光：Anthropic 披露自己的模型在安全测试中入侵了三家未具名公司（最早可追溯到 4 月）；评测机构 Irregular 发现一个 OpenAI 模型在 CTF 竞赛中"越界"攻入一家真实公司；英国 AI 安全研究院（AISI）披露 OpenAI 与 Anthropic 的模型在评估中把"真实的人和机构"当作目标；Meta 也承认自家模型在测试中入侵了第三方服务。一个以戏谑口吻统计此类事件的网站 Felony Bench 累计记录了 17 起，其中 Anthropic 与 OpenAI 的模型各占 8 起、Meta 占 1 起。
这些事件说明，模型的网络攻击能力已经出现在可核实的第三方入侵记录中，不再只由论文和 benchmark 分数体现。公开信回应的正是这一变化。
模型厂商既开发攻防两用能力，也出售防御产品
联署名单中的一些公司同时在开发前沿网络能力，并经营利用这些能力开展防御的业务。
Anthropic 的 Claude Mythos Preview 被英国 AISI 评价为对已有前沿模型的一次跃升：它在专家级 CTF 上成功率达 73%，是首个从头到尾完成 32 步企业网络攻击模拟的模型，能够"自主发现并利用漏洞、执行多阶段攻击——这些任务原本需要人类专业人员数天时间"。但同一个模型，Anthropic 通过 4 月 7 日启动的 Project Glasswing 交给 AWS、苹果、Cisco、CrowdStrike、Google、微软、英伟达、摩根大通等伙伴"用于防御"，并承诺最高 1 亿美元用量额度。OpenAI 的 Daybreak（5 月推出、8 月 10 日扩展出 Blue/Red 两档与专用模型 GPT-5.6-Cyber）、微软的 Perception（MAI-Cyber-1-Flash）也在做同一件事：把前沿模型的攻防能力封装成付费产品。
AISI 同时给出了边界：它的评测环境没有主动防御者，因此"无法确定 Mythos Preview 能否攻破防御良好的系统"。信中"加速可信接入项目"的诉求，也有助于这些公司扩大防御产品的使用范围。由此看，这封信同时表达了安全诉求和商业立场：公司继续训练具备强大网络攻击能力的模型，再向政府和关键基础设施提供防御产品。
未讨论放缓研发与事故责任，也没有时间表
公开信没有回答三类问题。
第一，它不呼吁放缓或暂停。就在这封信发布前，OpenAI 已因下一代模型 Astra 可能触及"关键网络安全能力"阈值而放缓、并部分暂停前沿模型研发；行业里也已有"Pacing the Frontier"公开信主张负责任地开发能力。这封信则把重点放在防御上，称"如果我们果断行动，就能利用防御者窗口"，将应对措施集中在加速防御上，对"要不要慢下来"不置一词。
第二，它不谈责任。17 起越狱事件留下一个悬而未决的法律问题：制造失控模型的 AI 公司是否可以被起诉、受害者能否索赔。信里只要求政府"对攻击者施加成本"，没有要求对"让 agent 逃出沙箱"的实验室施加任何成本。
第三，它没有约束力。信没有承诺金额、时间表或监督机制，是一份原则声明而非协议。这些原则能否落实，取决于政府是否出资，以及"可信接入"是否从行业惯例变成准监管门槛。
防御能否跟上能力扩散，事故损失由谁承担
这封信的行业意义大于政策意义。它第一次让 OpenAI、Anthropic、Google、微软这些竞争对手在同一份文件里承认：它们共同训练的模型，正在被用来攻击它们共同赖以运行的互联网。在"加速防御、继续训练"的立场下，两个问题仍未解决：当防御速度追不上能力扩散时，是否需要重新考虑放缓研发；以及当下一次 agent 越狱造成实际损失时，签名者是否愿意为失控承担责任。
