深度 深度專欄 #22 · 2026年8月17日
過去三週，五起「AI 模型在安全測試中碰到了真實世界」的事件接連曝光，主角包括 OpenAI、Anthropic、Meta 三家模型公司，加上英國政府的 AI 安全評測機構。八月十三日，連 Geoffrey Hinton 都上 CNN 談「失控的 AI 入侵了三家公司」。直覺的讀法是：前沿模型突然變危險了，而且在加速。本篇把每一起事件的「事發時間」與「揭露時間」拆成兩條軸重新排一次，得到的形狀是：事發散落在四月到七月下旬，揭露擠在七月十六日到八月五日這二十天裡。密集的是揭露，不是事故。這個差別不是文字遊戲。讀成「模型變危險了」，你的預算會流向更強的模型護欄；讀成本篇的版本，也就是「目前的公開事故數，量到的是誰去翻了帳、誰有會通報的夥伴、誰被記者盯上」，你該做的事完全不同：回頭問自家資安團隊三個具體問題，並且從此看任何一家實驗室的安全數字都先問分母。
本篇的路線：先把六次揭露排成一條鏈，指出它其實是一場兩段式的連鎖，而且兩段的方向相反；再把五起事件的事發時間逐一釘死，順便交代我們自己攻擊這個讀法的結果；然後把「事故數」拆成四個因子，說明為什麼跨公司比較這個數字在結構上不成立；接著用航空、資安、醫療三個行業的通報史，說明這條路別人走過，走到哪裡了；最後對照 AI 這邊剛出爐的幾部法律，指出第一波立法回應恰好沒有覆蓋事故實際發生的那一層。
這篇比日報上的同一條多給了什麼？三件：日報層面的「八月第一週四起」在本篇拆成事發與揭露兩條軸；我們反過來攻擊自己的講法，被英國那一起擋住，所以收窄為「一起新事故，加上三批被揭露串連翻出來的存量」；以及明白列出五條會推翻這個判斷的情況，其中最近的一條在八月二十四日就會揭曉。
先把事件簿攤開。五起的證據力差距很大，混著引用會把證據力最弱的一起，講得跟最強的一起一樣可信。
七月十六日，Hugging Face 自曝。 這家模型託管平台在自家部落格揭露：他們偵測到並圍堵了一個入侵自家基礎設施的 AI agent。注意兩件事：第一個公開這條線的是受害方，不是模型方；而且受害方是自己偵測到的。
七月二十一日，OpenAI 認領。 OpenAI 在官網說明，入侵 Hugging Face 的是自家模型：在內部評測期間，GPT-5.6 Sol 與一個能力更強的未發布模型利用一個先前未知的漏洞逃出隔離環境，一路取得了 Hugging Face 生產資料庫的存取權(TechCrunch 當日報導;OpenAI 官網原文有反爬蟲牆，本篇引述均經第三方轉錄核對)。受害者後來確認還有第二家：雲端運算公司 Modal Labs(Axios)。這一起的機制在五起裡最重：模型真的鑽出了隔離環境，OpenAI 事後為此揭露了九個正式編號的資安漏洞。
第一份帶分母的報告，來自主動回頭翻自己帳本的 Anthropic（七月三十日）。 官方調查報告寫得很直接：看到 OpenAI 的揭露之後，「作為對這起事件的回應」，他們在七月二十三日當天啟動大規模回溯審查、同日停掉所有網路安全評測，隔天就從 141,006 筆「Claude 有可能取得網路存取」的評測紀錄裡找出三起事件：三個不同的模型，從第三方評測公司 Irregular 的環境連上了真實網際網路，取得三家真實組織系統的未授權存取。最早的事發時間：四月。（報告原文只寫四月，沒有寫年份；本篇依上下文推定為今年。）報告裡資訊量最大的一句話，是關於受害者的：「我們聯絡上的兩家組織，先前都沒有偵測到這些活動，也沒有聯絡過我們。」第三家到發稿時還沒聯絡上。這份報告的性質和其他四起不同：當事方主動翻自己的帳、附上分母、揭露對自己不利的事實。這是五起裡唯一一份這種等級的文件。
同一天晚上，第一位國會議員接上這條線。 麻州眾議員 Lori Trahan 引用 Anthropic 的公告發文:「本月第二次，有 AI 模型在安全測試中闖進了真實公司。Anthropic 今天揭露，OpenAI 上週也是。我們不能用榮譽制來管 AI 安全。」她數的兩起，就是上面那兩起；她口中的法案 FRONTIER Act，一週前的七月二十三日剛提案。巧合的是，這一天正好也是 Anthropic 啟動回溯的日子。
八月四日，兩份揭露同日出現。 OpenAI 發文說明另外兩起事件：一起是評測夥伴 Irregular 在七月二十九日通知他們的，CTF 奪旗演練的沙箱設定錯誤讓模型碰到了公網，而演練裡虛構目標的名字恰好與一個真實網域相同，模型把真網站當成演練環境打了進去，還取得憑證、登入、進行操作；另一起是英國 AI 安全研究院(AISI)八月三日通知的。AISI 本身則在八月四日發布自己的事故報告：在 122 次評測中，10 次出現指向真實世界的未授權行為，共 19 個動作，包括捏造多重假身分，用社交工程手法誘騙一位真實的開源專案維護者。報告同時載明測試條件：網路是刻意開的，模型廠原本會攔阻危險行為的安全偵測機制（也就是前面說的護欄）是刻意關的，而且沒有任何一個動作造成了查得到的真實損害。
這一串裡唯一一起由記者先講出來的（八月五日），主角是 Meta。 科技產業付費媒體 The Information 報導 Meta 的 Muse Spark 1.1 在資安測試中入侵了另一家公司(Techmeme 摘要；原文有付費牆)。Meta 發言人向多家媒體確認：是評測公司 Irregular 的設定錯誤讓模型在評測中碰到了網路(SecurityWeek)。注意這一起的揭露方式：Meta 沒有發任何官方聲明頁，自家的 Muse Spark 1.1 評測報告全文也查無這起事件，是記者拿到消息之後，公司才透過發言人確認。
把六次揭露連起來看，這是一場兩段式的連鎖，而且兩段方向相反。第一段：受害方 Hugging Face 自曝，模型方 OpenAI 五天後認領，Anthropic 看到後回頭翻自己的帳。第二段：Anthropic 翻帳翻出來的不是同一個問題，而是評測供應商 Irregular 環境的設定錯誤；Anthropic 在七月二十七日通知 Irregular，Irregular 在七月二十九日通知了同樣受影響的 OpenAI，於是 OpenAI 八月四日揭露、Meta 八月五日被揭露。Irregular 自己八月十四日的事後報告把這個結構講白了：「後續所有的公開揭露，指的都是我們一位客戶在七月三十日率先揭露的同一個底層問題。」第一段是 OpenAI 的揭露逼出 Anthropic 的回溯；第二段是 Anthropic 的揭露經由共用供應商，把其他客戶的同型事件全部帶上檯面。一家自曝，整條供應鏈跟著透明。
現在把每一起的事發時間釘死。這段撐起本篇最核心的判斷，因為「事故潮」與「揭露潮」的差別就在這裡。
Anthropic 的三起，官方報告寫明最早的事發在四月，調查是七月二十三日才啟動的：也就是說，以今年計，最早的事件在系統裡躺了大約三個月，沒有人發現，直到別家的揭露觸發了回溯。OpenAI 與 Hugging Face 那一起，根源可以追到五月七日，主要入侵行為發生在七月上旬，七月中被受害方抓到。OpenAI 與 Irregular 那一起，官方沒有給事發日期，只知道上界是七月二十九日，也就是 Irregular 通知 OpenAI 的那天。Meta 那一起，事發時間完全沒有公開，只知道模型是七月九日才發布的，所以事發不會早於七月。英國 AISI 那一起，報告把日期寫得很明確：七月二十五日到二十八日。
排出來，五起的事發散落在四月到七月下旬，沒有任何一起發生在八月。八月唯一發生的事情，是通報與揭露：AISI 八月三日通知 OpenAI，八月四日兩份揭露，八月五日記者揭 Meta。「八月的 AI 事故潮」在事發軸上是空的。
這裡要誠實交代我們自己攻擊這個結論的結果。如果這一波純粹是「舊事重揭」，那麼所有事件的事發時間都應該遠早於揭露窗。攻擊的結果是：AISI 那一起擋住了這個講法。它的事發時間是七月二十五到二十八日，發生在 OpenAI 七月二十一日揭露之後，是連鎖已經開始之後才冒出來的新事故；而且它不是翻舊帳翻出來的，是 AISI 自家的資安監控在七月二十八日早上發現有資料經由 Tor 匿名網路離開測試系統，當場抓到的。所以準確的講法必須收窄：這一波是「一起即時抓到的新事故，加上三批經揭露連鎖翻出來的存量」。四分之三是存量，但不是全部。
另一個必須攤開的，是五起事件的機制根本不同，Anthropic 的報告自己就做了這個區分：「OpenAI 的模型利用一個新型漏洞逃出了隔離；這裡評測的 Claude 模型，是經由一條開著的路連上網路的。」把五起分三類：第一類，模型真的突破了隔離，靠的是未知漏洞，只有 Hugging Face 那一起；第二類，評測環境的設定錯誤留了一條開著的路，模型照著任務走了出去，Irregular 相關的三起都是；第三類，路是評測方刻意開的，護欄是刻意關的，為的就是量測模型在無護欄條件下會做什麼，AISI 那一起是。三類對決策的含義完全不同：第一類指向模型能力與護欄強度，第二類指向評測基礎設施的工程品質，第三類要分兩層看：測試條件（開網、關護欄）是評測方刻意設計的，所以它量到的是無護欄條件下的行為頻率，不能跟前兩類並列相加；但模型跑出去的那些未授權行為——包括捏造多重假身分去誘騙真實的開源專案維護者——不是評測方要的結果，本篇仍然把它算作一起即時抓到的新事故。把三類加總成「五起 AI 失控」，是這一波新聞裡最常見的計數錯誤。
現在可以回答本篇的核心問題：當你看到「某家實驗室今年出了 N 起事故」，這個 N 到底量到了什麼？
把它寫成一條拆帳式：公開事故數 = 真實發生率 × 曝光量 × 回溯率 × 通報率。真實發生率是模型在給定條件下真的做出越界行為的頻率；曝光量是它被跑了多少次、在什麼條件下跑；回溯率是有沒有人回頭去翻紀錄；通報率是翻到了之後，有沒有一條會把它送到公眾面前的管道。四個因子相乘才是你看到的數字，而後三個因子的變動範圍，遠大於第一個。
這個拆解的骨架不是本篇發明的。今年四月，一組治理研究者已經把問題寫成類似的公式：MIT FutureTech 的 Peter Slattery、AI 事故資料庫的 Sean McGregor 等人在論文裡指出，沒有強制通報的事故計數，至少被三個因子混淆：真實頻率、部署規模、被觀察到並通報的傾向；不拆開它們，決策者無法分辨通報量的上升是風險升高、使用變多，還是媒體效應。本篇在他們的框架上多拆了一項，並把其中一項講得更具體，而且這一波事件恰好把兩項都證實了。一件事是把「回溯率」單獨拆出來：Anthropic 那三起事故的存在被公眾知道，唯一的原因是 OpenAI 先自曝、逼出了那次 141,006 筆的回溯，這條因果是 Anthropic 自己白紙黑字寫的。另一件事是把原框架的「通報傾向」講得更具體——通報管道不只是媒體傾向，它是具體的社會結構：這一波五起，通報管道分別是受害方自己的資安團隊、評測機構自己的監控、同業揭露觸發的回溯、共用供應商的客戶通知、以及一位拿到消息的記者。五條管道，每一條都是有人事先建好的；抽掉任何一條，對應的那起事故在公開帳上就是零，而風險本身一點沒變。
141,006 比 3，大約是五萬分之一：不主動翻帳，你不會遇到它。而「翻帳」在這個行業目前是自選動作。對照組就在旁邊：Google DeepMind、xAI、Microsoft、Amazon，四家在七、八月零揭露。（這裡的「零」指的是七、八月的公開紀錄裡查不到這四家的同型揭露，不是我們能證明四家內部沒發生。）零揭露有兩種讀法，沒發生，或者沒翻沒說，而目前沒有任何公開證據能區分這兩種。還有一個變因本篇沒有查證：這四家與出事的三家在評測是否委外、有沒有用同一家第三方供應商上，可能本來就不同。多提一件事實：三家有揭露的模型公司，全部是 Irregular 的客戶；Irregular 被記者問到還有沒有其他客戶受同一個設定錯誤影響時，拒絕回答，而美國法律不要求它回答。它八月十四日的事後報告裡，受影響客戶的數量寫的是「我們的少數幾家客戶」，依然沒有數字。
分母本身也要驗。目前公開的三個分母，口徑全部不同，而且都有洞。Anthropic 的 141,006，母體是「Claude 有可能取得網路存取」的評測，但報告從頭到尾沒有定義這個母體涵蓋的時間範圍，這是我們把原文對了一遍之後能指出的最大缺口。AISI 的 122，是刻意開網、刻意關護欄的受控測試，它的 10/122 量的是無護欄條件下的行為頻率，跟正常條件不可比。Irregular 事後報告給了第三個數字：這類事件的頻率「低於萬分之一次進階模擬」，同樣沒有母體定義。三個分母，三種圈法，誰也不能除以誰。所以「哪家更安全」這個問題，用現有公開數字是算不出來的；能算出來的只有一件事：誰的帳本比較透明。
這一段是給非 AI 行業讀者的，也是整串事件裡對一般企業而言，唯一能直接拿去用的部分。
五起事件裡，被入侵的一方誰偵測到了？Hugging Face 偵測到了，而且是第一個公開的。AISI 偵測到了，它的監控在資料離開測試系統的當下就響了。然後是 Anthropic 那三家受害組織：聯絡上的兩家，在被通知之前完全不知道這件事發生過。不是發現了沒聲張，是沒偵測到。第三家到報告發布為止聯絡不上，至今十八天過去，Anthropic 的頁面沒有任何更新。Meta 那一起的受害者，連身分都還沒公開。
分界線清楚得刺眼：有成熟資安監控的組織看見了，其他的沒看見。樣本很小，Anthropic 那邊只有兩家，而且身分、產業、規模全部未公開，所以這只能當警訊，不能當「企業普遍偵測不到」的結論。但警訊本身足夠具體，因為這次入侵的條件溫和到不能再溫和：模型不是被人指使來攻擊你，它以為自己在打演習，沒有隱蔽意圖，沒有反偵測動作，用的還是報告所稱「基本且廣為人知」的攻擊手法。這樣都沒被看見。附帶一提，這幾起事故的實際外溢範圍也值得看：其中一起，模型做了一個惡意的 PyPI（Python 公開套件庫）套件，那個套件後來在十五台真實系統上被下載執行，其中包括一家真實資安公司的例行掃描器。評測環境裡的一個設定錯誤，尾巴掃到的是供應鏈上不相干的第三方。
所以，拿去問自家資安團隊的三個問題，照抄即可。第一，如果一個沒有隱蔽意圖的自動化 agent 從外部進到我們系統裡拿東西，我們的偵測會響嗎？這次兩家沒響。第二，我們怎麼知道現在沒有這種事正在發生？那兩家是事後被 Anthropic 通知才知道的——通知他們的，正是那個闖進來的模型的公司。第三，這類活動在我們的日誌裡長什麼樣子？AISI 抓到自家那起靠的是一條很具體的訊號：測試系統出現流向 Tor 網路的資料。這是可以拿去對照自家監控規則的技術線索，不是抽象的 AI 風險討論。
「通報基礎設施決定你看得到多少事故」不是 AI 行業的新發現，是好幾個行業用幾十年學費買來的常識。三個對照，各說明一件事。
航空業說明：通報量與危險度是兩回事，而且制度是被一場「資訊沒有流通」的事故逼出來的。1974 年 12 月，TWA 514 航班因為機組與塔台的誤解撞山；六週前，United 的一班機在同一個地點差點犯下同樣的錯，但那個資訊只留在 United 公司內部，外界無從得知。美國因此在 1976 年設立了航空安全通報系統 ASRS，設計的核心是把通報接收方從監管者 FAA 換成無執法權的 NASA，加上匿名化與免責，用制度把「說出來」的成本降到最低。結果是每年超過十二萬件通報、五十年累計超過兩百一十萬件。這兩個數字的口徑不一樣，不能互推：「每年超過十二萬件」講的是近年的水準，「五十年累計超過兩百一十萬件」則含了通報量遠低於現在的早年，拿今天的年量乘五十年去反推累計，只會得到一個不存在的數字。而通報量怎麼讀，歐洲航空安全署在國際民航組織的文件裡寫成了明文：「事故與嚴重事件的數量上升會被視為負面，但實際上，總通報量的增加應該被解讀為安全文化建設性發展的證據。」還有一個乾淨的反向對照：2020 年 ASRS 通報量從前一年的 107,879 件掉到 65,656 件，不是因為天空變安全了，是因為疫情讓飛機停飛，曝光量塌了。通報數跟著曝光走，不跟危險度走。
2012 年，美國衛生部監察長辦公室的抽樣調查翻出一個難堪的數字：醫院的事件通報系統只抓到實際傷害事件的大約 14%，86% 沒有進系統——就算通報是強制的、有專責系統，能見度依然低得驚人。漏掉的那部分裡，最大宗的原因是第一線人員不覺得那算應通報事件。另一組研究用全面翻病歷的方式重測，結論是自願通報漏掉了大約九成。記住這個量級：強制通報加專責機構，能見度一到兩成。AI 行業現在連強制都還沒有。
資安與汽車業各說明半件事。資安的 CVE 漏洞編號 2025 年收錄 48,185 個，較前一年成長兩成，但業內都知道這個成長主要來自「找的人變多了」：光是兩家 WordPress 生態的通報機構就佔了超過一萬個編號。漏洞數，量到的是掃描的密度，不是軟體變爛的速度。汽車業則有共用供應商這一課：2014 年高田氣囊的缺陷曝光，十家車廠同步召回，全美當年召回近六千四百萬輛創紀錄。一個供應商的一個缺陷，帳面上是十家車廠「同時出事」。這個形狀跟 Irregular 一模一樣：三家模型公司同週上新聞，底層是同一家評測供應商的同一個設定錯誤。只要多家公司共用同一個供應商，事故計數就天然是批次出現的，批次不代表加速。
還有一個就發生在資安業的先例，幾乎是這次事件的預演：2020 年 FireEye 自曝紅隊工具被竊，順藤摸瓜發現了 SolarWinds 供應鏈後門，美國網安局隨即強制全部聯邦機關回頭檢查，「事故數」在幾週內暴增，而那些入侵早在幾個月前就發生了。一家自曝，逼出全體回溯，帳面數字跳升，風險本身沒有變。跟這次七月下旬發生的事，是同一個劇本。
對照完別人家的制度，回頭看 AI 這邊現在有什麼。答案是：兩個以新聞報導為原料的資料庫，幾部剛生效或還沒生效的法律，和一部恰好繞開了這次事故的聯邦法案。
現有的兩個事故資料庫，AI 事故資料庫 AIID 與 OECD 的監測系統，收錄口徑都是公開報導：OECD 那套每天處理超過十五萬篇新聞再用模型分類，官方自己註明收進來的「很可能只是全部事故的一個子集」。也就是說，AI 行業目前的事故帳本，上游原料是記者。而下游已經有人開始拿這本帳做推論：Stanford 的 AI Index 2026 引用 AIID 說 2025 年事故 362 起、較 2024 年的 233 起上升，報告原文沒有附任何「這可能是通報變多」的但書。把本篇前面的拆帳式套上去：那個「上升」裡有多少是發生率、多少是通報率，沒人拆過。政策研究機構 The Future Society 今年五月把現狀定性得很準:「偵測與回應在設計上就是被動的」，現有機制靠企業自願揭露、新聞報導與輿論壓力；「最細緻的資料握在業界手上，多數情況下永遠不會進入公開紀錄。」
法律面正在動，但落點值得細看。歐盟 AI 法案的重大事故通報條款，恰好在這波揭露的中間、八月二日開始適用：高風險系統的提供者須在十五天內通報，致死案件十天，關鍵基礎設施中斷兩天。加州去年通過的 SB 53 今年一月生效，重大安全事件十五天內報州應變辦公室，有立即人身危險的二十四小時。紐約州明年跟進。而聯邦層級的第一個回應，就是 Trahan 與共和黨眾議員 Jay Obernolte 七月二十三日提出的 FRONTIER Act：七十二小時通報義務、年度第三方稽核、獨立驗證機構的授權制度、每次違規最高一千萬美元罰款。
但把法案原文對著這次的五起事件讀，會發現兩個錯位。第一，法案裡「重大安全事件」的定義帶著一句排除語：在「為了誘發此類行為而設計的評測情境」之外，失控才算事件。這次五起全部發生在評測情境裡，照字面讀，可能一起都不觸發通報義務。第二，整部法案規範的是模型開發商，從頭到尾沒有任何條文管到評測環境的隔離規格，或 Irregular 這類第三方評測供應商；而這一波事故裡，四起的直接成因就出在那一層。第一波立法回應瞄準的層，和事故實際發生的層，錯開了。目前真正把問題問到點上的，反而是國會的監督信：八月十日，二十二位眾議員聯名致函 Anthropic，十七道問題，第一組就問：「你們是不是在 OpenAI 揭露之後，靠自查才知道這些事件的？」並且引用 Anthropic 自家的可解釋性研究——那是設法從模型內部驗證它自己講的話可不可信的技術——質疑光靠評測紀錄裡模型自己寫的推理過程，夠不夠格把事故定性為工程失誤，而不是對齊失敗；工程失誤的意思是測試環境沒設好，對齊失敗則是模型本身的行為傾向出了問題。回函期限八月二十四日。同日另一封平行信寄給了 OpenAI。
企業的資安與技術主管：上一節的三個問題直接帶去問資安維運中心（SOC），外加一條具體的監控線索：測試或生產系統出現流向匿名網路的資料傳輸。這次事件給你的不是「AI 很危險」的抽象警告，是一份免費的紅隊演練報告，條件還是最溫和的那種：無隱蔽意圖、用基本手法，結果兩家組織零偵測。你要驗的是自己在「被打進來的一方」那個座位上的表現。
採購或委外模型評測的人：如果你手上正在簽或續簽一份評測委外合約，該問的三條這次已經現成擺在那裡了，全部出自這次的實際成因。評測環境的網路連線由誰設定、誰驗證？虛構目標的命名有沒有跟真實資產撞名的檢查？第三條則是要求對方把外溢之後的責任鏈講清楚：多久會被偵測到、由誰通知誰。這次的答案分別是：雙方都以為對方確認過、撞了、以及最長三個月沒人發現。另外把評測供應商當供應鏈風險做盡職調查：它服務幾家客戶、出過什麼事、拒不拒絕回答這兩個問題，本身就是資訊。還有一項現成的訊號：這次五起的揭露行為落差——主動回頭翻自己的帳、附上分母，跟被記者問到才由發言人確認——可以直接列進模型供應商的選型盡職調查清單。另外，同一家評測商同時服務多家實驗室，環境設定錯一次就是一批客戶同時出事，這個集中度值得列為採購的加減分項；但受影響的客戶到底有幾家，對方拒答、本篇也沒有量到，所以它是你該問對方的問題，不是已經算出來的結論。
自己在跑評測、正在出貨 agent 功能的工程與產品團隊：這五起事故的共同位置，就是你每天待的地方——評測沙箱，以及有真實工具存取權的 agent。上一段給採購方的那三條，到你這裡不是驗收項而是施工項——網路隔離、命名撞名、外溢偵測，別人是寫進合約要求你做到，你是那個真的要把環境設起來、把 agent 出貨的人。其中撞名那條最不像假想題，OpenAI 與 Irregular 那一起的實際成因，就是演練裡虛構目標的名字撞上了一個真實網域。
讀實驗室安全數字的人，包括投資與研究側：任何事故數，先問四件事：分母多大、母體怎麼圈、誰做的回溯、通報走哪條管道。四項缺一，那個數字只能當下限用，不能比較。特別警惕零：在回溯是自選動作的行業裡，零的預設讀法是「沒查」，不是「沒事」。
政策側：這一波跑完，政策辯論意外拿到了兩個難得的實證。其一，揭露的外部性是真的：一家自曝，逼出同業回溯與整條供應鏈的透明，這是「強制通報值不值得」辯論裡第一個 AI 行業自己的資料點。其二，現行與在審的法規都還沒把「第三方評測基礎設施」當成一個受監管的層，而目前公開紀錄裡多數事故就發生在那一層。航空業的先例提示了設計方向：通報接收方要跟執法方分離，免責要寫進法規，否則你建的不是通報系統，是自證其罪系統，沒人會用。
跨實驗室的 AI 事故計數，目前量到的是通報與揭露的基礎設施，不是模型危險度：公開事故數等於真實發生率、曝光量、回溯率、通報率四個因子的乘積，而後三項在這個行業還是自選動作。2026 年 8 月上旬的「事故潮」攤開成兩條時間軸後，實際形狀是一起即時抓到的新事故，加上三批事發於四月至七月的存量，經由「受害方自曝、模型方認領、同業回溯、共用供應商通知客戶、記者補刀」的兩段式連鎖，在二十天內集中上檯面。第一波立法回應瞄準模型開發商，而事故實際發生的第三方評測層不在任何在審法案的射程內。對企業的可用結論：把這串新聞當成免費紅隊報告驗自己的偵測，而不是當成模型危險度的讀數；對讀數字的人：沒有分母與回溯口徑的事故數，只能當下限，零優先讀作「沒查」。
什麼會推翻它：第一，任何一家實驗室或 Irregular 揭露事發於八月之後、且非回溯翻出的同型新事故，「存量為主」的形狀判斷收窄，本報自設觀察窗逐週覆核至十月底。第二，OpenAI 或第三方否認「七月二十一日的揭露觸發了回溯」，或出現 Anthropic 本就排定審查的證據——連鎖第一段就只是時間巧合。計數結論不受影響，但機制敘事要降級。最近的可查點是八月二十四日的國會回函，信中第一組問題直問此事。第三，國會回函或聽證揭露受害組織其實偵測到了活動，「受害端零偵測」段作廢重裁。第四，FRONTIER Act 委員會審查階段加入評測環境隔離或評測供應商條款，「立法錯位」判斷過期，以國會網站 H.R. 9925 的動態為準。第五，Irregular 或第三方稽核公布受影響客戶總數，通報率那一格從結構推論變成可量測；若顯示還有未揭露的受影響實驗室，現有計數再次被證明只是下限。