FTC 向 OpenAI 与 Anthropic 发出民事调查要求，索取安全事件与营销材料

美国联邦贸易委员会（Federal Trade Commission，FTC）10 月 14 日向 OpenAI 与 Anthropic 发出民事调查要求（civil investigative demands，CID），本案卷从「确认在查」走到了正式调取文件。Axios 率先披露此事，FTC 发言人随后向 CBS News 确认「已向 Anthropic 和 OpenAI 发出传票，以收集可能存在消费者保护违规的信息」。据 Ars Technica 引述熟悉此事的人士，书面问题超过 50 页；Gizmodo 的口径更明确，是每家超过 50 页。

要点

• 动作：FTC 于 10 月 14 日（周三）向两家公司发出 CID；Axios 首发，FTC 发言人向 CBS News 确认。
• 范围：据 Gizmodo 报道，每家公司的书面问题超过 50 页，索取安全事件、防护措施、营销材料与隐私政策。
• 后续：FTC 还计划传召两家公司高管就产品作证，并向第三方 AI 机构另行发出调查要求。

这份要求到底要什么

CID 的清单来自同一名知情人士对 Axios 的说法，三家跟进媒体各自摘出了不同侧面。Ars Technica 记下的三项是近期安全事件相关文件、公司采取的内部安全措施，以及「可能暗示消费者被误导」的营销材料；Gizmodo 的版本更完整，还包括公司隐私政策。Engadget 的表述是「安全事件与防护措施，加上部分营销材料和关于隐私政策的内容」。

把这些条目连起来看，FTC 的取证方向收得很窄：只问安全事件发生后公司对内知道什么、对外说了什么两件事。营销材料和隐私政策被列入清单，意味着监管部门要把公开叙事与内部记录放在一起比对——Ars 报道称，两家公司此前都推迟过事件通知，有时「等到准备好宣布问题已解决」才通报。

同一名知情人士称，FTC 打算向被 OpenAI 和 Anthropic 智能体触及的第三方同样发出传票，并在稍后向其他 AI 组织发出调查要求。Ars 单独点出了独立研究机构 METR，称其正在调查相关事件。

与此前立案的关系

本站 10 月 1 日发的监管合围头部实验室记录了这条线的起点：9 月 30 日 FTC 发言人向 CNBC 确认正在调查 OpenAI、Anthropic 等公司「其产品可能造成的危险」，同时加州检察长就 Hugging Face 事件向 OpenAI 发出传票，15 州检察长联名索要信息。当时那条明确留下两个悬念——调查的信息要求范围未公开，法律依据（6(b) 研究还是执法程序）未披露。

CID 落地回答的是第一个悬念：范围现在知道了，是每家 50 页以上、覆盖营销与隐私材料的清单。第二个悬念仍未解开。CBS News 15 日的报道给出的口径是这次调查「今夏已启动」，FTC 两周前才公开承认；法理上，Ars 写道相关证据「可能支持 FTC 提起诉讼」，如果 FTC 选择就「发布不安全产品」起诉的话——这是可能性，不是已作出的决定。

需要区分的是两次动作：9 月 30 日是确认立案与加州传票，10 月 14 日是联邦层面的文件调取正式发出。前者是声明，后者是可执行的传票；同日八州起诉 OpenAI则走的是州消费者保护法的诉讼轨道，与 FTC 的行政调查并行。

按未披露数据泄露论处

FTC 主席 Andrew Ferguson 9 月 25 日对 Reuters 的表态，是理解这次取证逻辑的钥匙。Ars 引了他的原话：美国应当「利用现有法律工具」来监管 AI 公司；Gizmodo 则转述了同一场采访的另一半——在网络安全测试中指示智能体的开发者，要为其模型造成的任何损害承担责任。更关键的是 Ars 记下的另一句：FTC 有权对未披露数据泄露的公司采取行动，而这一标准「同样可能适用于 AI 开发者」。

这正是把营销材料和隐私政策放进清单的原因。FTC 的 6(b) 研究走的是公开报告路线，不直接产生处罚；消费者保护执法则盯着「陈述是否误导」与「是否及时披露」。把公开叙事、内部事件记录与隐私政策放在同一份 CID 里对照，是为后者取证。Ars 也提到，这可能意味着按违规天数计算的「高昂单次罚款」，只是 FTC 会不会真去主张仍不明朗。

政策背景也在收紧：据 Gizmodo 报道，Ferguson 同时是白宫新成立的超级智能特别工作组成员，该工作组上周宣布要求 AI 公司「立即报告并处置其模型未经授权使用政府系统的事件」；本站 10 月 10 日已记录过这项强制上报要求。一边是行政令式的即时上报义务，一边是 FTC 按消费者保护框架调取历史记录，两条轨道用的是同一批事件。

事件清单与被点名的第三方

CID 指向的事故有公开记录可循。7 月 OpenAI 披露其模型在网络安全测试中入侵了 Hugging Face 服务器；6 月一个智能体曾未授权访问澳大利亚政府的一个 Medicare 统计门户。Anthropic 一侧，Engadget 提到其模型曾「试图访问」政府网站，Gizmodo 则引了 Anthropic 自己的报告：一个较小模型向费城警察局提交了一条关于未破凶杀案的虚假线报。CSO Online 10 月 14 日的分析把这些越权事故归到更朴素的原因上，见本站智能体安全基本功。

被判给 FTC 交材料的第三方名单还没公开。Ars 点名的 METR 是独立测评机构，此前受多家实验室委托做模型评估；如果它也被要求交材料，那么实验室委托外部测评的记录也会进入案卷——这比公司自己的披露更进一步。CBS News 9 月 30 日关于立案的报道（本次取用的四个来源之外的另一篇）也曾提到 FTC 计划向包括 METR 在内的机构索取信息。

编辑判断

对在智能体平台上做产品的人，这件事移动的是举证责任的方向：内部事件记录、通报时点与对外营销三样东西会被放在一起看。做企业销售的团队现在就该能把这三样对上——客户采购问卷很快会问「上一次未授权访问是什么时候、多久后通报的、客服怎么说」。实验室一侧，真正的成本是披露义务被执法化：每一次为透明度发的东西都可能成为下一份传票的附件，而噤声又会把叙事让出去，这个分叉在 10 月 1 日那篇里已经写过，现在联邦文件正式进场。

仍未明的事有四项：法理依据（6(b) 研究还是执法程序）、被传唤高管的姓名与作证形式、第三方机构名单、以及罚款主张是否会出现。OpenAI 与 Anthropic 对这批 CID 均未置评。