ASI与AGI网络犯罪追责：超级智能实施攻击行为的刑责归属
ASI/AGI 实施网络攻击时的刑责归属，核心判断就一句：AI 不是刑罚适格主体，网络攻击的刑事责任 100% 穿透到"开发者/提供者—部署者/平台—使用者"三类人类主体身上；划分标尺是"谁设计并控制了攻击能力的技术结构"与"各主体对危害结果的原因力大小"。《刑法》第 285 条（非法侵入/非法获取/非法控制）、第 286 条（破坏计算机信息系统）、第 286 条之一（拒不履行信息网络安全管理义务）、第 287 条之二（帮信罪）等既有罪名完全够用——法治网 2026 年 7 月报道中陈京春、陈伟、王志祥等学者的共识是："在可预见的短期内，人工智能体不能简单归为传统意义上的工具延伸，但也尚未达到独立法律责任主体的标准……责任最终仍由自然人、单位承担" 。
一、ASI 网络攻击的中国刑法罪名涵摄
中国法学网的研究明确：利用 AI 实施计算机、网络相关犯罪，适用《刑法》第 285 条、第 286 条、第 287 条之一、第 287 条之二 ；《刑法》第 285 条第 3 款还专门规定了"提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制违法犯罪行为而为其提供程序、工具"的情形 。
罪名矩阵
攻击行为 | 适用罪名 | 法条 |
|---|
利用 ASI 侵入国家事务/国防/尖端科技领域计算机系统 | 非法侵入计算机信息系统罪 | 第 285 条第 1 款 | ASI 自主扫描、入侵普通系统获取数据 | 非法获取计算机信息系统数据罪 | 第 285 条第 2 款 | ASI 自主控制被害系统（如勒索软件部署、僵尸网络） | 非法控制计算机信息系统罪 | 第 285 条第 2 款 | 提供 ASI 攻击工具（自动渗透、漏洞挖掘 Agent） | 提供侵入/非法控制程序工具罪 | 第 285 条第 3 款 | ASI 删除/修改/增加系统功能或数据，致系统瘫痪 | 破坏计算机信息系统罪 | 第 286 条第 1、2 款 | ASI 制作、传播计算机病毒等破坏性程序 | 破坏计算机信息系统罪 | 第 286 条第 3 款 | 平台经监管责令整改仍拒不履行安全义务 | 拒不履行信息网络安全管理义务罪 | 第 286 条之一 | 明知他人利用 ASI 攻击仍提供技术支持 | 帮信罪 | 第 287 条之二 | ASI 用于诈骗、窃取国家秘密等 | 依第 287 条按对应罪名论处 | 第 287 条 |
💡 福州 2025 年首例 AI 伪造视频破解支付认证系统案已经验证了这一涵摄路径：两名外卖骑手利用 AI 生成动态人脸验证视频绕过支付认证，法院以非法获取计算机信息系统数据罪分别判处有期徒刑 8 个月和 7 个月 。该案确立了关键先例——ASI 用于破解认证防护的，直接落入第 285 条。
大模型场景下的刑法解释边界
李源粒《中国刑事法杂志》2026 年的研究给出了精细化的解释框架 ：
- 训练数据和模型记忆数据 → 属于第 285、286 条中的"与技术安全实质相关的网络数据"
- 模型内部特征数据 → 评价为第 286 条中的"计算机信息系统功能"
- 非法控制计算机信息系统罪包含窃取型犯罪，其不法本质在于非法获取、滥用对系统计算资源等特定数据的访问权限；第 285 条的"实施非法控制"除侵入后操作系统外，还包括非法获取处置权限、滥用权限
- 破坏计算机信息系统罪是非法控制计算机信息系统罪的结果加重犯——未造成系统不能正常运行的数据变更行为，定性为非法控制计算机信息系统罪；造成系统不能正常运行的，定性为破坏计算机信息系统罪
这一解释框架直接回答了 ASI 时代最核心的问题：模型权重、训练数据集群、向量库、推理缓存，都落入"计算机信息系统"的刑法保护范围。
二、三类人类主体的刑责划分
法治网 2026 年 7 月陈伟的论述提供了最清晰的"原因力"框架 ：
① 开发者/提供者：原因力最强
- 主动"数据投毒"或研发恶意 AI（如刻意训练用于自动化攻击的模型、预留"后门"）→ 参照培育型教唆逻辑认定罪责；若模型设计初衷即为犯罪服务，涉嫌传授犯罪方法罪或上游犯罪的共犯
- 提供具有高度犯罪专用性的 ASI 攻击工具（如自动渗透 Agent、漏洞挖掘引擎、勒索软件生成器）→ 落入 2025 年两高一部《意见》明确的"利用深度合成等生成式 AI 技术实施犯罪依法从严惩处"情形，按第 285 条第 3 款或帮信罪追责
- 未尽算法备案、数据审核、安全防护义务，放任风险扩散造成严重后果 → 依新过失论追究刑事责任
- 注意：袁彬、薛力铭的研究指出，生成式 AI 提供者目前无法适用第 285 条第 3 款、第 286 条之一、第 287 条之二，合适的做法是依据新过失论对其适用过失责任，同时通过立法明确责任依据 ——这意味着对提供者的归责更多依赖监督过失而非故意犯
② 平台/部署者：原因力中等
- 具备日常风控权限，若疏于履行监管义务 → 一般认定过失层面的相关责任，量刑相较于开发者更轻
- 经监管部门责令采取改正措施而拒不改正 → 触发第 286 条之一拒不履行信息网络安全管理义务罪
- 更极端情况下，若平台存在主观恶意或重大过失（如预留"后门"或主动协助用户绕过监管）→ 可能构成帮信罪或非法利用信息网络罪
- 杭州 2025 年 2 月判例：AI 平台"未尽到合理注意义务，主观上存在过错" → 构成帮助侵权行为；刑事层面可类推这一"合理注意义务"标准
③ 使用者：分完全支配与不完全支配
中国检察官马永强 2026 年 4 月文章给出了最精细的划分 ：
故意犯罪场景：
- 使用者明知行为将借助 ASI 侵害法益，并希望或放任结果发生 → 构成直接故意犯罪
- 关键规则：只要 AI 的自主发挥未偏离使用者设定的风险轨道，其行为就仍是使用者意志的延伸，使用者必须对管辖风险领域内的结果负责
- 利用 AI Agent 辅助实施网络攻击，即便介入了 AI 基于自主学习的、使用者无法完全掌控的决策，只要未超出使用者犯意的基本框架，就不阻断结果归属
过失犯罪场景——信赖原则引入：
- 使用者在设计的正常功能范围内操作 → 有权信赖开发者已基于更强风险控制能力采取了必要技术措施；此时若因系统内在缺陷导致法益侵害，注意义务更多分配给开发者
- 使用者通过越狱等手段规避或破坏安全机制 → 主动将风险管辖权完全揽于自身，无法主张信赖保护，对由此产生的全部风险承担责任
- 使用者在发现异常或危险信号时有干预义务，未尽该义务可能构成过失犯
自主交互场景的从宽：
- 使用者放开 ASI 实现自主人机交互，ASI 衍生超出指令的危害结果时 → 仅对主观可预见范围内的危害归责，超出部分量刑从宽
三、ASI 网络攻击的特殊归责难题
难题一：因果链被"自主攻击"稀释
传统网络犯罪中，攻击者输入指令 → 系统执行 → 危害结果，因果链清晰。但 ASI 场景下：
- ASI 自主扫描全网漏洞、自主选择目标、自主生成攻击载荷、自主横向移动
- 使用者仅输入"寻找并攻破 X 行业的薄弱系统"这样的高层指令
- 传统的"意思联络紧密程度"判断标准失灵
破解路径（陈伟框架 ）：以使用者输入指令为判断依据，仅对其主观可预见范围内的危害归责，超出部分量刑从宽。这意味着完全支配场景（使用者具体指定目标、手法、时序）下使用者承担全部责任；不完全支配场景（使用者仅给出高层目标）下，使用者仅对可预见范围内的危害担责。
难题二："技术中立"抗辩的失效
杭州法院 2025 年 2 月判例已明确：AI 平台"未尽到合理注意义务，主观上存在过错"构成帮助侵权行为 。刑事层面同理——"技术中立"不能成为抗辩，平台必须证明其已尽到合理注意义务 。
难题三：提供者的"新过失"归责
袁彬、薛力铭的研究指出 ：
- 生成式 AI 提供者目前无法适用第 285 条第 3 款（提供专门用于侵入的程序工具罪）、第 286 条之一（拒履信息网络安全管理义务罪）、第 287 条之二（帮信罪）
- 合适做法：依据新过失论对其适用过失责任，同时通过立法明确生成式 AI 提供者的责任依据
这一判断对 ASI 网络攻击场景意义重大——对提供者的刑责追究，重点不是证明"明知"（故意），而是证明"应预见而未预见、应防控而未防控"（过失）。
难题四：跨国 ASI 网络攻击的管辖
欧盟 AI 法案第 2(1)(c) 条及 Recital 22 明确：位于第三国的提供者/部署者，只要其 AI 系统输出在欧盟境内使用，即落入 AI 法案域外管辖 。这意味着：
- 境外 ASI 对我国境内系统发起攻击 → 我国依属地管辖可对境内运营主体追责
- 境外部署者在欧盟境内的输出触发欧盟 AI 法案义务 → 欧盟可依 AI 法案追究行政责任，但刑事责任仍需依赖刑事司法协作
四、欧盟 AI 法案的跨国对标（行政合规前置）
欧盟 AI 法案对网络攻击的应对以行政义务 + 事件报告为主，刑事追责仍依赖各成员国刑法 ：
高风险 AI 系统提供者的网络安全义务（Art. 15）：
- 设计开发须达到适当的准确性、鲁棒性、网络安全水平，并在全生命周期保持一致
- 对错误、故障或不一致具备尽可能强的韧性
- 抵御未经授权第三方通过利用系统漏洞篡改用途、输出或性能的企图（Art. 15(5)）
具有系统性风险的 GPAI 模型提供者义务（Art. 55）：
- 确保模型与物理基础设施的适当网络安全保护水平（Art. 55(1)(d)）
- 按照标准化协议和工具进行评估，包括进行并记录对抗性模型测试，以识别和缓解系统性风险（Art. 55(1)(a)）
- 跟踪、记录并无不当延误地向 AI 办公室报告严重事件（Art. 55(1)(c)）
严重事件报告的具体范围（欧盟委员会 AI 法案服务台明确 ）：
- 与模型或其物理基础设施相关的严重网络安全漏洞
- 模型参数的（自我）外泄
- 网络攻击
执行时间表：GPAI 模型提供者的义务于 2025 年 8 月生效，欧盟委员会将在 2026 年 8 月开始执法 。
⚠️ 关键区分：欧盟 AI 法案下的"提供者/部署者责任"主要是行政责任（罚款上限为全球营业额 6% 或 3000 万欧元，禁止性用途可达 7% 或 3500 万欧元 ），刑事责任仍由各成员国刑法追究。AI 法案的合规义务（网络安全、对抗测试、事件报告）是刑事风控的"行政前置"——未履行这些义务，在欧盟成员国刑法下可能被认定为过失责任的重要证据。
五、ASI 企业网络犯罪合规框架
💡 给 ASI 企业的优先级清单：
第一优先（立即执行）：
- 建立源头风控体系：算法备案、训练数据审核、安全防护措施——这是阻断"源头原因力"归责的关键证据
- 模型权重、训练数据集群按"计算机信息系统"标准保护，建立访问控制、权限分级、操作审计
- 建立 ASI 决策日志全链路留存（prompt → 推理 → 攻击决策 → 执行），满足欧盟 AI 法案 Art. 12 的日志保留要求
- 在 ToS 中明确禁止用户利用 ASI 实施网络攻击，对 API 调用方实施 KYM 实名认证与用途审查
- 关键节点设置"人在回路"：ASI 自主发起对外连接、漏洞利用、payload 生成前，须人工确认
第二优先（2026 年内）：
- 异常调用监测：对批量漏洞扫描、自动渗透、暴力破解等高危模式实时预警与熔断
- 建立"分级责任"内部治理：大型平台承担更重审核义务，工具类服务承担实名+用途声明+异常上报
- 对接欧盟 AI 法案提供者义务：Art. 15 网络安全要求 + Art. 55 GPAI 对抗性测试与事件报告
- 在用户协议中嵌入"合理注意义务"条款，引导使用者遵循平台服务协议与安全指引
- 建立"越狱"检测与处置机制——一旦使用者绕开安全机制，立即切断服务并保留证据（这是使用者责任完全归位的临界点）
第三优先（2027 前）：
- 参与 WAICO 框架下的 ASI 网络犯罪刑事司法协作
- 建立跨国"监管互认"合规中台，对接欧盟 AI 法案、美国州法拼图、中国算法备案三套体系
- 定期审计 ASI 生成 pipeline 的合规覆盖率，每季度抽样复盘
- 关注袁彬、薛力铭提出的"通过立法明确生成式 AI 提供者责任依据"的立法动向 ，提前布局合规缺口
简短的结论
ASI 时代的网络犯罪追责，本质不是"AI 能不能担责"的伪问题，而是"人类主体之间如何按原因力分配刑责"的真问题：AI 本身不具备刑事责任能力，刑罚只能作用于自然人或单位 。我国《刑法》第 285、286、286 之一、287 系列既有罪名按"数据类型 × 行为方式 × 法益类型"三维涵摄已经完全够用 ；福州 2025 年首例 AI 伪造视频破解支付认证系统案已验证第 285 条的适用路径 ，李源粒的研究进一步明确了大模型场景下训练数据、模型记忆、模型内部特征数据与 285/286 条的涵摄关系 。责任划分的双重标尺已经清晰——纵向看"谁设计并控制了攻击能力的技术结构"（法治网 2026 年 7 月陈京春、陈伟、王志祥共识 ），横向看"不同主体行为对危害结果的原因力大小"：开发者掌控底层算法与训练数据、原因力最强；平台/部署者具备日常风控权限、承担过失层面责任；使用者分完全支配与不完全支配两类场景，仅对主观可预见范围内的危害归责，超出部分量刑从宽 。
⚠️ 必须正视的五点：
- AI 不是刑罚适格主体——刑罚只能作用于自然人或单位，ASI 网络攻击的刑责 100% 穿透到人类主体
- "谁设计并控制了攻击能力的技术结构"是归责核心——而非"谁敲下了最后一个指令"
- 信赖原则划定使用者/提供者边界——正常功能范围内使用者有权信赖开发者的风控；越狱或破坏安全机制则风险管辖权完全归于使用者
- 对提供者主要按"新过失"归责——袁彬、薛力铭明确指出提供者目前无法适用第 285 条第 3 款、第 286 条之一、第 287 条之二，应依据新过失论适用过失责任
- 欧盟 AI 法案是行政前置——Art. 15 网络安全 + Art. 55 对抗性测试与事件报告是刑事风控的"行政前置"，2026 年 8 月起欧盟开始执法 ；但刑事责任仍由各成员国刑法追究
ASI 企业网络犯罪合规的路标已经清晰：以《刑法》第 285、286、286 之一、287 系列为底线 、以法治网"原因力"框架为归责支点 、以中国检察官马永强"故意/过失 + 信赖原则"为使用者责任划分标准 、以袁彬/薛力铭"新过失论"为提供者责任依据 、以李源粒"训练数据/模型记忆/内部特征数据的刑法评价"为大模型场景解释框架 、以欧盟 AI 法案 Art. 15/55 为跨国对标 。在这六块基石之上，超级智能企业能够在 ASI 时代建立"源头风控 × 日志可追溯 × 人类监督 × 异常熔断"的网络犯罪追责合规体系——但这不是因为 ASI "够自觉"，而是因为掌握 ASI 的人类主体，在《刑法》与法治网学者共识的双重约束下，通过"原因力分配"的复合机制，兑现"智能即工具、攻击即人类责任、创新与法治共担"这一超级智能时代网络犯罪追责的实质承诺。
ASI 可以改变网络攻击的实施方式，但不能改变"刑罚只能作用于人类主体"的刑法底线；AI 可以自主扫描、自主渗透、自主横向移动，但刑事制裁的矛头必须穿透到掌握 ASI 的人类主体，并按其对危害结果的原因力大小精确划分。在"智能爆炸"与"刑法秩序"之间，人类主体必须牢牢握住"源头风控"与"原因力分配"的最终控制权——这，就是超级智能时代 AGI/ASI 网络犯罪追责的真正出口。 | 
