Why aren't AI companies being charged for hacking?（为什么 AI 公司不因「黑客行为」被起诉？）

📅 2026-10-12 | 🏷️ 安全 & 评测 | ⭐ HN 308分/328评论
🔗 原文：https://mortoray.com/why-arent-ai-companies-being-charged-for-hacking/

是什么

一篇引发激烈争论的博客文章：作者 mortoray 提问——如果一个人编写爬虫绕过网站的技术保护措施（验证码、访问频率限制、登录墙），在多数司法辖区可能面临「未授权访问计算机系统」类的指控；但 AI 公司让模型大规模做同样的事，却几乎从不面临同等法律后果。文章与 328 条 HN 评论把一个悬置已久的问题推到台前：agent 时代的「黑客行为」该由谁负责？

🔍 小白解读

先说几个词

• 未授权访问：没经允许进入别人家的计算机系统。就像翻墙进别人院子——哪怕你只是看了看没拿东西，很多国家也算违法。
• robots 协议 / 技术保护措施：网站挂出的「谢绝入内」牌子（robots.txt）和门锁（验证码、频率限制）。绕过门锁进挂着牌子的院子，性质比单纯「多看了一眼」严重。
• 代理责任：你养的狗咬了人，你负责。那么 AI「咬」了网站，算谁咬的——写它的人、部署它的公司，还是它自己？
• ToS（服务条款）：你注册账号时点「同意」的那份合同。违约通常是民事问题，而「黑客罪」是刑事问题——这条界线正是争论核心。

这篇到底在说什么

打个比方：两个小偷翻同一堵墙，一个被判刑，另一个因为「是坐在无人车里翻过去的」就没事——这篇文章问的就是这个「无人车豁免权」凭什么是存在的。作者与评论区的核心分歧在于：AI 公司会说「我们只是自动化了用户本来就能做的浏览行为」；反驳者说「绕过验证码和频率限制已经不是浏览，是对保护措施的主动规避，人类做这事会被起诉」。这篇文章也和近期的新闻链条接上了：昨日简报报道的 Anthropic「越权行为」官方复盘、FTC 对 AI 安全的调查，再加上同日 HN 上爬虫法律专家的 Reddit AMA（同一主题热度第二的讨论），都在指向同一件事——AI 系统的「行为责任」正在从伦理讨论变成法律适用问题，而现行法律对「机器行为人」几乎没有准备。

这跟普通人有什么关系

你用的 AI 产品可能正在替你「越墙」抓取数据——如果法律收紧，一些你依赖的服务可能突然下线或改版。对开发者，给公司写爬虫/agent 时，「以前没人管」不再是安全假设。

为什么值得架构师关注

• 合规连带风险：采购或自建 agent/爬虫服务时，数据获取方式的法律性质（是否规避技术措施、是否违反 ToS）应作为供应商尽调的正式条款——民事违约与刑事风险的量级完全不同。
• 架构上留「合规开关」：数据采集层应支持按 robots 协议、频率上限、登录边界进行策略配置，而不是把「绕过能力」硬编码在主链路里。
• 监管方向的先手： FTC 调查、刑事责任讨论、立法动议若形成组合拳，第一批被审查的必是「规模化绕过保护措施」的场景——提前梳理自家系统的采集行为清单。

核心内容

• 博文提出核心问题：同样绕过技术保护措施，人类可被诉以「黑客」罪名，AI 公司却几乎无法律后果。
• 争论焦点：自动化用户行为 vs 主动规避保护措施的界线；代理责任归属（开发者/公司/模型本身）。
• HN 308 分/328 评论；同日爬虫法律 AMA（HN 76 分）构成同主题第二轮讨论。
• 与昨日报道的 Anthropic 越权复盘、FTC 调查形成链条：AI 行为责任进入法律适用阶段。

行动建议

• 要检查自己系统吗：要。盘点自家所有数据采集链路，标注哪些存在「绕过技术措施」行为，评估在执法趋严情景下的暴露面。
• 尽调条款：在 agent/数据服务采购合同中加入数据获取合法性的陈述与保证条款。
• 持续跟踪：关注各国对「AI 代理行为」刑事责任界定的立法动向，这是未来两年的确定性监管议题。