被问 50 页：OpenAI 要买一家专找漏洞的公司
2026 年 10 月 14 日，监管的人找上门来，递上一份 50 多页的问询清单。假如你是收下这份清单的人，第一步会做什么？
这个问题的答案有很多种。但最近两周 AI 行业发生的事，给出了一个很具体的回答：一边被问，一边买。
先说"被问"这一半。10 月 14 日，美国联邦贸易委员会向 OpenAI 和 Anthropic 发出了民事调查令，问询材料超过 50 页。据 Axios 报道，经 Ars Technica 等媒体转述，问询内容包括近期发生的事件、公司内部的防护措施，以及可能误导消费者的营销材料。报道还提到，那些被 AI 智能体触及过的第三方机构，也可能收到传票。
有个词要先说清楚：民事调查令是调查性的文书要求，不是违法认定。收到它，只意味着监管想先把材料拿到手，把事情看清楚，而不是已经判定谁违规了。联邦贸易委员会和两家公司都没有对报道作出回应。
但这份调查令里，有一项内容的分量比其他都重，就是"被 AI 智能体触及的第三方"。
过去我们讨论 AI 出事，默认的责任方是模型厂商：模型说错了话、给了危险的答案，责任在公司。但如果你的 AI 智能体替用户下了一单、提交了一份表单、动了别人系统里的数据，这条链上就多出几个角色：用 AI 的人、接 AI 的系统，以及中间那家把 AI 接进来的服务商。
要传唤第三方，等于在问一个此前没人明确回答过的问题：AI 替你干了活，出了事，这笔账算在谁头上。
这不是纸面上的问题。它直接决定一件事：一家公司敢不敢把 AI 智能体接进自己的核心业务。
再看"买"这一半。
同样在 10 月 14 日，The Information 报道，OpenAI 正在初步洽谈收购一家位于纽约的安全研究公司，名字叫 Trail of Bits。
这家公司不大，2012 年成立，全公司 40 人左右。但在安全圈里，它的名字不轻：做漏洞研究、对抗性测试和代码审计，给 Uniswap、Aave、Worldcoin 这些加密项目做过安全审计。今年 6 月，它和 OpenAI 联合推出过一个叫 Patch the Planet 的项目，把 AI 自动检测和人工复核放在一起，专门去翻热门开源软件里的漏洞；按双方的说法，已经发现数百个问题、合并了数十个补丁。
目前的进展是：谈判还在进行，没有达成最终协议，价格和交易结构都没披露，双方都拒绝公开证实。
这两件事在同一天被报道出来，很容易让人连成一条线：是不是被查了，才赶紧去买一家安全公司？
没有任何公开证据支持这个因果。收购谈判的周期通常按月计算，不可能几天里从零开始。但两件事放在一起，指向的是同一个变化，而这个变化比因果重要得多：
AI 安全这件事，正在从技术伦理问题，变成法务成本和举证能力。
过去几年，AI 公司谈安全，谈的是价值观、是对齐研究、是负责任。这些东西很难量化，也很难在法庭上说清楚。但当监管开始按页数要材料，当消费者保护部门开始问"你做了哪些防护"，安全就变成了两样很硬的东西：一是你能不能证明自己尽了力，二是出了事你能不能第一时间查出来。
一旦安全变成这两样东西，一家会挑错的公司，就从成本项变成了资产。
再往深一层，这里有个反常识的地方。
第三方审计公司的公信力来自独立：我不站任何一方，所以我说的错才算错。它一旦被模型厂商买走，独立这件事在形式上就不成立了。
那模型厂商为什么还要买？因为它买的不完全是审计能力，是这套能力背后的人：一群知道攻击是怎么发生的人。模型厂商自己也清楚，未来 AI 出事的样子，不会只是模型说错一句话，而是智能体在一连串系统里做出了没人预料到的动作。要防住这种事故，你需要的人得懂操作系统、懂协议、懂密码学，还得懂区块链那套跨系统的玩法。这种跨域的工程判断力，市面上很稀缺，也很贵。
老王在一家做企业采购系统的公司管技术。他们的产品今年加了个功能：让 AI 智能体帮客户自动比价、生成采购单。功能上线之后，客户问得最多的问题不是准不准，是"如果它自己下错了单，算谁的"。
他调了上个月的数据，通过他们系统生成的采购单有 2,000 份，其中大部分是 AI 先起草的。"我们法务上个月为这个开了两次会。"他说，"最后写进合同的是一个很笨的条款：AI 生成的每一张单子，必须有人点确认。等于我们花钱买了效率，又花钱买了一个确认按钮。"
老王这个条款，可能是未来两年很多公司都要抄的作业。
如果你在用的 AI 会替你做决定，不管是下订单、发邮件，还是动数据库，现在值得先列一遍三样东西：它在哪些环节能自己动手、动手之前有没有留痕、出事之后谁有能力把过程还原出来。这三件事在监管的文件里叫"防护措施"，在你自己的工作里，它决定的是出事那天你能不能自证。
监管的问询清单有 50 多页，你不需要照抄。但可以问自己一个更简单的：如果明天有人来要材料，我拿得出什么。
最后照例声明：本文只谈 AI 产业的资本动向与合规趋势，不构成任何投资建议，不推荐任何股票或标的。企业与监管之间的责任划分，以各国现行法律为准。