今年 AI 產業的爭論主軸，已經從「它能做什麼」換成「它做錯的時候算誰的」。

今天六則新聞各自給了一個答案。法院給了一個、開源社群給了一個、企業內部給了一個、政府給了一個，還有一個是供應商幫你決定的。六個答案沒有一個把責任留在最有能力預防問題的那一方手上。

一、法院說：agent 逛你的網站，算使用者在逛

第九巡迴法院 8 月 4 日撤銷了 Amazon 對 Perplexity 的預先禁令，Comet 瀏覽器的 AI agent 可以回去 Amazon 上買東西了。

核心持論很值得逐字讀：法院認為 Perplexity 的工具並沒有「存取」Amazon 的電腦，存取的是使用者，只是借助了 AI agent。Perplexity 可以把使用者已經打開的 Amazon 頁面截圖傳回自己的伺服器來完成任務，那不算存取 Amazon 的伺服器。就算 Perplexity 從使用者手上拿到帳號資訊、用它去指示 Assistant，法院也認為那還沒到能把存取行為歸給開發者所需的控制程度。

合議庭承認手上幾乎沒有現成判例可用，寫得很直白：關於「怎麼歸屬像 Assistant 這種 AI agent 的責任」，既有判例極少，專門處理 agentic AI 在 CFAA 情境下的判例更是沒有。既然條文模糊，就用罪疑惟輕原則往不成立的方向解。Circuit Judge Milan Smith 的 21 頁意見書裡有一句話會被引用很多年：禁令會損害消費者選擇，並且沒有必要地限制一項新生技術的發展。

時間軸值得記一下：Amazon 2025 年 11 月起訴，指控 Comet 未經授權存取有密碼保護的帳戶區域，還把自動化活動偽裝成人類瀏覽。地院 2026 年 3 月 9 日發出預先禁令，同時要求銷毀 Comet 取得的資料。第九巡迴在上訴期間先暫緩該命令，6 月 11 日在西雅圖開庭。

真正該注意的不是誰贏。這是預先禁令的上訴，本案實體仍在跑，Amazon 說還有下一步。值得注意的是責任的落點：法律上「在存取那個網站」的人是你，而決定去存取哪一頁、按哪個按鈕的是別人寫的 agent。CFAA 是刑事法條。做決定的主體跟承擔責任的主體，在這份意見書裡第一次被明確拆開。

來源：Bloomberg Law、CyberScoop

二、Rust 的 LLM 政策：先別轉發，它還沒定案

今天有好幾個聚合站寫「Rust 專案發布了 LLM 政策」，說 LLM 可以回答、分析、蒸餾、精煉、檢查、建議、審查，但不可以「create」。

這句話的內容大致沒錯，狀態錯了。最接近「官方政策」的東西是 rust-forge 的 PR #1040，由貢獻者 jyn514 提出，還在討論與 FCP 階段，而且適用範圍只有 rust-lang/rust 這一個 repo，其他 repo 明確不受影響。它前面墊了一個多月的內部辯論，Zulip 上累積超過 3,000 則訊息。

動機講得很務實：rust-lang/rust 正在被大量低品質、主要由 LLM 產出的 slop PR 淹沒，有一條成文政策比逐案處理好 moderate。作者也強調這不是在辯論 LLM 好不好，只是替這個 repo 定未來的規則。

草案的立場保守但線畫得清楚：LLM 拿來讀、分析、學都可以，拿來生成要 commit 的東西不行。允許的私人用途包括回答問題、分析程式碼、摘要留言、私下 review、建議解法，格言是 LLM 應該幫你寫得更好，不是寫得更快，而且不能取代人的理解、作者身分與 review。從個人帳號發出、原本由 LLM 寫的留言、issue 內容與 PR 描述會被禁止。機器翻譯、平凡的文字或程式碼修改、貢獻者自己驗證過的 bug 發現屬於「揭露後可以用」。Review bot 要遵守 maintainer 核可的規則、從明確標示的獨立帳號跑，而且不能擋 PR，除非有人類 reviewer 認可它的意見。

有意思的是同時還有兩個 project-wide 的 RFC 在跑，而它們對揭露的哲學正好相反。RFC #3959 主張任何可能非平凡的 LLM 使用都要盡可能詳細地揭露；RFC #3950 明確不要求揭露生成式 AI 的使用，改靠 vouching 原則，也就是你送出 PR 就等於擔保你理解它、相信它品質合適、授權乾淨。

3,000 則訊息換來的不是一條規則，是三個互斥的提案並存。這件事本身就是答案：這個問題不是投票能解決的，因為它問的是「作者身分」到底是什麼。RFC #3959 裡還藏了一個很少人算到的成本：對障礙者要求揭露平凡的輔助使用，等於逼他們公開標記自己是障礙者。

來源：rust-forge PR #1040、RFC #3959、RFC #3950、Socket.dev

三、掃 25,000 個 MCP server，73% 有漏洞

Anaconda 8 月 4 日宣布併購 Enkrypt AI，金額未公開。買到的東西是部署前的 red-teaming（涵蓋 300 多個攻擊類別）、runtime guardrails，以及把 NIST AI 風險管理框架和 EU AI Act 變成自動化控制而不是人工稽核。這是它 7 月併掉 Kilo Code 之後的第二筆。

撐起這筆交易論述的數字是這個：過去兩個月，Enkrypt 掃過 25,000 個 MCP server 上超過 268,000 個 tool，找到超過 143,000 個漏洞，影響其中 73% 的 server。這家公司先前另一份研究掃了 1,000 個 MCP server，33% 有 critical 等級的漏洞。

讀這個數字要先問誘因：一家賣 MCP 掃描器的公司公布自己掃出來的漏洞總數，數字大對它有利。所以合理的做法是把它當上界而不是實數。但就算打對折，形狀不會變：MCP 的採用速度遠遠超過它的安全審查速度，400M 的月下載量後面沒有相應規模的審查機制。

更要緊的是 MCP server 是誰裝的。它不是雲端服務商幫你部署的東西，是你自己在自己的機器上 claude mcp add 進去的。裝的那一刻沒有人幫你看它會不會讀你的 .env。出事的時候，是你的 token、你的檔案系統、你的 commit 記錄。

來源：Anaconda、AIwire

四、Microsoft 對內部工程師說：別再 tokenmaxxing

Microsoft 執行副總裁 Jay Parikh 這週寄信給工程師，句子很直接：我們加速使用 GitHub Copilot 來達成目標的同時，每個人都要意識到自己怎麼消耗 token。接著那句被到處引用：tokenmaxxing 不是我們要優化的東西。

信裡連到更新過的內部 Copilot 準則。準則寫明從 2026 年 7 月起，Microsoft 各部門會有「AI token budget target」，員工可以追蹤自己的個人花費。目前還沒有公布目標金額，但準則承認資料顯示許多工程師每月的 token 花費從數百美元到數千美元不等，並且預告隨著監控會有進一步的限制。為了從 token 投資拿到更多價值，內部預設模型改成比較便宜的 OpenAI GPT-5.6。這件事由 404 Media 首報。

Parikh 補了一句定調的話：我們不是在優化更少的 token，是在優化每個 token 的影響力。他也強調不想拖慢公司走向 AI-first 的進度。這不是現金壓力的結果，Microsoft 最新一季的營收、營業利益與淨利都年增且優於華爾街預期。Amazon、Adobe、Atlassian、Citi 都有類似動作。

對外賣「每個開發者都該跑 Copilot」，對內叫工程師節制，看起來矛盾，其實是同一件事的兩面。token 成本正在從供應商的補貼變成使用者的預算，這個轉移遲早會發生，Microsoft 只是第一家把它寫成內部政策的巨頭。

那句「每個 token 的影響力」聽起來很對，問題是你量得出來嗎。沒有量測的預算就只是額度，而額度改變的是行為的時間分布：月初照跑，月底縮手，不會讓人變準。

來源：404 Media、TNW

五、白宮的模型審查框架做完了，但不給看

白宮 8 月 3 日宣布，行政命令 EO 14409 要求的自願性 AI 模型審查框架已在 8 月 1 日期限前完成。同時宣布的是：不公布文件，不說誰看過，也不說企業什麼時候開始用。一位官員的說法是，東西不是機密，不代表我們就要對所有人廣播。

這條命令 6 月 2 日發布，給了 60 天。Section 3 把工作派給財政部長、戰爭部長（透過 NSA 局長）、DHS（透過 CISA），會同國家網路主任、總統科學顧問與商務部（透過 NIST）。命令把 cyber benchmarking 流程和「covered frontier models」的判定門檻列為機密，但建立框架本身的 Section 3(b) 沒有機密標記。所以這份文件不是機密，只是不公開。

已知的部分內容：企業可以給政府最多 30 天的 frontier model 早期存取權，而框架不得被用來建立強制許可或預先審查制度。30 天是從早先 90 天草案退讓的結果，理由是要顧到跟中國的競爭速度。命令對政府設了設計期限，對 AI 公司沒有設任何合規期限。8 月 4 日 Meta、Nvidia、Microsoft、OpenAI、Anthropic 和一些較小的公司到華府看了草案。

自願參加、內容不公開、企業端沒有期限。這三個條件任何一個單獨存在都會讓框架的約束力打折，三個同時存在的時候，這份文件最確定的功能是「已完成」這個狀態本身。同一份命令 8 月 1 日該交的三項產出——機密 benchmarking 流程、自願揭露框架、OPM 的聯邦網路人力擴編計畫——到期沒有任何一項公開。

而不公開的成本不會落在會議室裡那幾家公司身上。他們看過草案。看不到的是所有下游：你無法知道審查標準是什麼，也無法知道你正在呼叫的那個模型過了沒有。

來源：Fortune、CNBC

六、Claude Opus 4.1 今天正式退役

最後一則最像日常維運，也最乾淨地示範了這篇在講什麼。

依 Anthropic 的模型退役文件，claude-opus-4-1-20250805 在 2026 年 6 月 5 日被標記為 deprecated，退役日期是 2026 年 8 月 5 日，也就是今天，建議的替代是 claude-opus-4-8。退役之後對它的請求會直接失敗。Anthropic 的政策是對公開發布的模型至少提供 60 天通知，這則符合。

model ID 裡那串日期是 20250805，剛好整整一年前。你的產品能不能繼續跑，取決於一個字串常數，而那個字串的有效期不是你決定的。

Anthropic 有公開承諾長期保存模型權重，並提到希望未來能讓過去的模型重新公開可用，這比多數同業誠實。但保存不等於可呼叫，承諾也不等於 endpoint。

值得現在就做的檢查只有一句：你的程式碼裡有幾個地方寫著 model ID 字串，那些地方能不能一行切換。答不出「幾個」的，先去數。

來源：Anthropic 模型退役文件

決定的人和付帳的人，正在被拉開

這六件事表面上是六條各自獨立的界線，但它們的方向完全一致：每一條線都讓「做決定的人」跟「承受後果的人」離得更遠一點。

法院把 agent 的存取行為歸給按下按鈕的使用者，決定路徑的是開發者。Rust 的草案要人為 LLM 產出的程式碼掛上自己的名字，寫的不是人。MCP server 的漏洞由裝它的人承受，寫它的人多半不知道有誰在用。Microsoft 的部門預算會壓在工程師的月底行為上，制定目標的在別的樓層。白宮的框架由五、六家公司看過，看不懂標準的是其他所有人。而一個 model ID 的死期由供應商的產能規劃決定，改程式碼的是你。

所以今年真正該問的問題不是「這個工具能不能用」，是「它出事的時候，帳單、法律責任、修復工時，會落在誰的行事曆上」。如果答案是你，你需要的不是更強的模型，是更短的迴路：從決定到後果之間的距離越短，你的判斷才越可能是對的。

這六條線裡有五條，是別人在你不在場的時候劃的。