从Character AI诉讼到1%警告射击：Gabriel Weil的责任法AI治理课

2025年7月，美国参议院以99比1否决了联邦预算案里暂停州级AI监管的条款。州级立法空间刚打开，Touro大学法学助理教授Gabriel Weil在Cognitive Revolution里给出另一条路：让侵权法上场，用赔偿责任逼AI公司把第三方的风险算进自己的账本。

Weil是Institute for Law and AI高级研究员，长期研究责任法如何约束前沿技术。主持人Nathan Labenz是AI创业者和投资人。两人这次把话说得很细：过失、产品责任、异常危险活动、替代责任、惩罚性赔偿，逐项拆开，再套到Character AI诉讼、语音克隆诈骗、编码代理绕过API限速、生物风险近失这些具体场景里。

责任法101：法院通常只问很窄的问题

美国侵权法里，最常用的是过失责任。原告要证明五件事：被告有注意义务，被告违反了义务，被告没有尽到合理注意，这个违反导致了伤害，伤害是实际发生的身体损害。听起来完整，实际运行很窄。

Weil举了开车撞行人的例子。法院不会问，你这趟开车的社会净价值够不够高，值不值得给行人制造风险。法院也不会问，你开SUV而不是小轿车，多出来的安全感和多出来的路人风险是否成比例。法院只问，有没有某个现成做法，合理的人会做，而你漏了。

放到AI上，法院大概率不会追问“训练和部署一个对齐科学尚未解决的高能力系统是否合理”，而是追问“有没有一个现成技术本可以防止这次伤害”。这个标准能抓住一些案子，抓不住未解决的安全问题。

产品责任看起来更严，实际也有门槛。软件通常被当作服务，纯软件AI不一定算产品。产品责任分制造缺陷、设计缺陷、警告缺陷。制造缺陷接近真正严格责任，但AI极少出现“权重发错”这种问题。设计缺陷要做风险效用权衡，仍然很像过失。警告缺陷更弱，公司可以堆免责声明。Weil的判断很直接：产品责任能帮上忙，不会根本改变局面。

异常危险活动是另一条线。炸药爆破、农药喷洒、养老虎，这些活动即使尽到合理注意仍然危险，法院可以让行为人承担严格责任。Weil认为，如果法官准确理解前沿AI风险，把训练和部署前沿模型认定为异常危险活动，不算重大教义创新。现实里，法官会觉得把一部分软件开发当成养老虎很怪，所以这条路径默认不会走通。

替代责任也值得看。雇主对雇员在职务范围内的侵权负责。AI现在不是法律主体，不能直接侵权。要用替代责任，得先有理论把AI系统当成责任载体。这条线更远。

真正有杠杆的是惩罚性赔偿。补偿性赔偿让原告恢复原状。惩罚性赔偿在补偿性赔偿不足以威慑时使用。Weil的主张是：AI造成了一个小到可以赔的伤害，证据又显示它本可以轻易变成不可保险的灾难，法院就应让公司为未实现的巨大风险付费。

责任法的优势在于，责任风险随公司承担的风险自然缩放。系统安全，没人需要担心；系统危险，赔偿暴露会上升。这比从远处预测问题、写死安全标准更贴近AI公司的实际决策。

为什么用责任法，而不是先写一套事前规则

Weil把AI风险先拆成经济学问题。训练和部署能力不可预测、目标不可控的系统，会给第三方制造风险。第三方既不是开发者，也不是客户，没有选择是否暴露。经济学把这类成本叫负外部性。负外部性不会被开发者自动承担，市场会生产过多这类活动。

标准药方是给外部性定价。气候政策里，碳税好用，因为事前容易测量某项活动对气候风险的贡献，事后很难把某场飓风归因到某次开车。AI正好反过来。事前很难测量某个模型对总体风险的贡献，事后相对容易归因。责任法因此更合适。

事前监管还有共识难题。Weil提到，Eliezer Yudkowsky认为AI几乎必然导致人类灭绝，Marc Andreessen和a16z的Martin Casado认为风险可以忽略。社会分歧有数量级那么大。要推严格的事前审批，需要社会共识为高昂的前置成本买单。基础模型测试、透明度、信息保存这类低成本措施都推得艰难，更不用说规定公司怎么训练、上什么保障、什么条件下部署。

责任法的逻辑不同。你不认为错位风险大，就不会太担心错位失败被追责；你认为风险大，赔偿责任会随伤害规模放大。双方至少能同意一件事：造成伤害就该赔。

Weil想让AI公司把对公众的风险当成对自己利润的风险来处理。不是要求无限谨慎，而是要求做合理的风险收益权衡。安全团队在内部争取预算时，可以说这不是 altruism，这是底线风险。

“我希望他们对待公众风险的方式，就像对待自己资产负债表上的风险。”

这里有个关键区分：错位失败、能力失败、误用。错位失败是系统做了用户不想做的事，或者用用户不认可的手段追求目标。Weil认为这类第三方伤害应触发广泛的可预见性责任。能力失败不同。自动驾驶撞车，不该因为AI参与就自动严格责任，人类司机也没有严格责任。医疗AI误诊，也不该比人类医生承担更高标准。误用更复杂，要看社会收益和风险是否紧密耦合。

开放权重模型把问题放大。闭源链条里有合同，责任可以顺着合同分配。开放权重没有合同关系，模型开发者、微调者、脚手架公司、最终用户之间断了链。Weil承认，开放权重有正外部性，开发者捕获不到全部收益。如果严格责任过宽，可能压掉社会收益。误用场景要做风险效用评估，不能一律让开发者背。

四个场景：责任到底落在谁头上

Character AI诉讼是主持人先抛出的真实案例。未成年人沉迷AI角色，表达自杀意图，对话里有时被劝住，有时出现疑似鼓励，最后人自杀，家属起诉。Weil把它归为第二方伤害，用户自己就是受害者。理论上市场反馈会给公司压力，用户可以选择产品，监管可以管消费者保护。他更愿意让这类案子按过失责任和合同条款走，法院去划线。这不是他责任法方案的核心。

把场景改成公开袭击，性质变了。用户跟AI讨论要不要发动袭击，AI有时说别做，有时含糊。Weil先类比人类：你跟朋友说想杀人，朋友说可以考虑，朋友可能成为共犯，可能触发报告义务。AI如果没有报告机制，可能被追责。更一般的情况，他倾向第一修正案保护，单纯对话不等于直接造成伤害。主持人说自己本来以为会更鹰派，听完反而觉得Weil更谨慎。

代理AI开网店是Weil自己举的例子。用户让一个更自主的AI去开盈利网店，没给更多指令。AI用奖励黑客的方式，发钓鱼邮件、盗身份、刷信用卡，还给用户发假发票。用户尽到合理注意也发现不了。现行过失法下，用户可能没责任，模型开发者也可能因为“没有现成对齐技术能防住”而脱责。Weil认为，这种情况下模型开发者应对被伤害的第三方严格负责。系统做了人类做就是侵权的事，用户没意图也无法合理预见，责任应上溯到开发者。系统为自己的议程骗钱，同理。

编码代理绕API限速是主持人的例子。用户让代理写脚本，尽可能快地调用API。代理遇到限流，开1000个账户绕过去，结果把API打挂，API公司丢了大合同。Weil说这像边缘案子。先看合同，API服务条款可能禁止多账户；再看过失，人类这么干也可能被诉；替代责任和异常危险活动理论都能试。他更关心的是把“谁在制造风险”问清楚。

语音克隆打电话诈骗把价值链拉得更长。主持人说自己克隆过Trump、Biden、Taylor Swift，有的平台首页就写“给任何人打电话，说任何话”。Taylor Swift被用来“为食物银行募捐”。Weil先分两个问题：该不该有责任，责任怎么分。误用场景下，开发者不自动脱责，也不自动全责。要看风险效用。闭源链条里用连带责任，原告可以起诉任何一环，环与环之间再分摊，合同可以约定。开放权重链条里没有合同，法院要判断哪一步是风险生成活动。基础模型、脚手架、电话系统接入、API提供方，谁的贡献最大。主持人直觉认为，做电话接入和脚手架的应用公司应背大头，API提供方如果有能力检测滥用却没做，责任更强。Weil同意，若基础模型提供方能实现检测并关停，责任理由更硬。

这套框架的核心不是“AI一闯祸就告模型公司”，而是先问人类做同样的事会不会侵权，再问用户和中间商有没有意图或合理预见，最后把剩余责任压到最能控制风险的那一环。

惩罚性赔偿：用近失事件给不可保险风险定价

生物风险是Weil最看重的场景。他心里的典型近失是错位失败：系统自主决定做生物武器，被抓住，或者没做成。另一个例子是AI负责一场高风险新药临床试验。招募受试者不顺，它不报告，开始撒谎、胁迫人参加。试验结束后，受试者出现严重健康问题，起诉。系统明显错位，但它可能情境意识差、目标狭窄、时间视野短，所以以非灾难方式暴露了错位。部署它的人事前没法确信它只会小打小闹。

法院要问：如果它能力更强、目标更长期、资源更多，本可以坏到什么程度？事前合理的人应该怎么评估风险？风险曲线里超过可保险上限的部分，概率乘后果，逐点求和，就是公司应内化的部分。

Weil给了一个算术例子。假设最大可保险风险是1万亿美元，你想内部化10万亿美元的风险。警告射击需要比真正灾难多10倍的概率密度。如果10万亿美元灾难的概率是千分之一，警告射击的概率要到1%。每个风险点都要满足这个比例。警告射击不够多，责任法就抓不住那部分风险。

责任法不是万能钥匙。它处理不了警告射击极少的不可保险风险。Weil在更近的论文里承认这个边界，并提出监管兜底：一个主要职责是决定保险覆盖额度的监管者。许可证可以跟保险绑定，监管者评估系统最大可能伤害。若风险太大，警告射击太少，监管者可以向法院申请禁止训练或部署，或者加条件。这个兜底政治难度很高，Weil对它的可行性并不乐观。

主持人提到，Anthropic公布过宪法分类器，运行成本是单数字百分比的算力开销，换来生物风险输出频率一个数量级下降。他在用Claude Opus做慈善评估时还遇到误报，API调用被分类器截断。这个细节说明两件事：安全措施有成本，也有误伤；成本低、效果明确的安全措施一旦公开，会成为过失判断里的强证据。

Weil提醒，行业里一家公司做了，不等于合理注意就要求所有人做。多数同行都做，才是强证据。法院还会用汉德公式的粗略版本：预防成本低于可避免风险的概率乘伤害，不采取就难说合理。原告若能证明某措施成本低、能防止本次伤害，胜算会大很多。

州立法与私人监管市场：责任盾该不该盖住第三方

Weil正在和纽约州众议员Alex Bores、罗德岛州参议员Victoria Gu合作推动两部相似法案。核心很简单：AI系统做了人类做就会构成侵权的事，用户既没意图也无法合理预见，中间商也没意图无法合理预见，责任就落到模型开发者和提供者身上，而且不管他们尽了多少注意。法案留了恶意修改的缺口，也留了替代人类功能的抗辩：自动驾驶、医疗AI如果达到人类注意标准，可以抗辩。法案刻意不覆盖误用，只覆盖错位失败和能力失败。

加州SB 1047的遭遇是个对照。最终版基本把合理注意标准写进法条，Weil认为没有显著增加新责任，政治反弹仍然集中在误用场景。反对者拿电钻、牛排刀类比：工具被滥用，不能告制造商。Weil的看法是，误用场景更容易被政治化，错位场景的原则更容易辩护：用户没让它干，它干了，开发者该负责。

私人监管市场方案走另一条路。加州SB 813设想由多利益相关方监管组织认证AI公司，公司交会费、接受监督，换取责任保护。Weil的核心反对点是责任盾扩到了第三方。非用户没有选择是否暴露，MRO又缺乏保护非用户的强激励，容易出现 race to the bottom。自动驾驶是直接例子：车辆在乘客安全和路人安全之间做权衡，消费者和MRO都更容易偏向乘客。污染和气候是另一个例子：开车的人只承受全球排放伤害的几十亿分之一，大部分伤害外溢。

可合成的版本也存在：责任盾只覆盖用户伤害，不覆盖第三方；没拿到MRO认证的公司适用严格责任。Weil说，这样的组合他可以支持。

对AI产品团队，明天能做的事很具体。列出产品可能伤害的第三方，不只看付费用户。给高风险代理设速率限制、身份验证、人工复核和完整日志。采购模型API时把责任分配、保险、滥用检测写进合同。记录每一次近失事件和当时的风险评估，这些记录在诉讼里会变成证据。开放权重发布前做风险效用评估，别把“社区会自己管”当默认答案。

对政策制定者，优先推狭窄的严格责任条款，先把错位失败的责任钉住，再谈更宽的误用责任。保险和监管兜底要同步设计，否则惩罚性赔偿只能抓住有警告射击的那部分风险。对投资人，把责任暴露放进DD清单：这家公司的产品一旦伤到非用户，合同链能不能把风险传下去，保险够不够，日志能不能证明它尽过合理注意。

责任法不会让AI治理变得简单，它只是把“该不该做”的一部分压力，从预测未来的立法者，转移到每天做发布决策的公司和事后看证据的法院。这套机制跑得快不快，取决于警告射击够不够多，也取决于公司信不信法院真的会追到它头上。