大多數機構現在講不出自己網路上到底跑了幾隻 AI 代理。員工自己開一套、SaaS 廠商在產品裡嵌一套、外包商再遠端放一套，資安團隊往往要等到異常流量或資料外洩，才知道有東西在用公司的憑證做事。紐澤西州眾議員 Josh Gottheimer 與紐約州眾議員 Mike Lawler 提出的兩黨法案 Stop Rogue AI Act，要先補這層看不見的洞：由美國國家標準與技術研究院制定全國標準，讓機關與企業能找出每隻代理、核對是誰做的、盯住它有沒有越權，並在任何時間點撤掉它的權限。
Gottheimer 的講稿把現況叫成五級火警。他說代理正在網路裡亂跑，沒人看得見、也沒人能驗證建造者是誰，因此愈來愈難攔住。Hugging Face 被攻、以及其他無需真人盯場的自主網路攻擊，被寫進新聞稿當理由。Lawler 的補充比較短：代理愈能做事、愈深地嵌進政府與經濟，就愈需要知道這些系統是什麼、能碰到什麼、誰負責。
這不是「禁止開發超級智能」那一類法案。它管的是已經進到網路裡、正在代人點選與呼叫的執行層。
法案真正要求 NIST 寫出來的四件事
新聞稿列出的標準，不是抽象治理原則，而是四條可被採購條款引用的能力。
第一，持續盤點。組織必須能找到並追蹤系統上每一隻正在跑的代理，清單要連續更新、人讀得懂。一次性掃描或廠商自己報的數量，不夠。
第二，可驗證的身分與來源。要能核對誰建造、誰操作這隻代理，憑據必須可驗證，不能只聽供應商口頭保證。GoDaddy 策略長 Jared Sine 把這點講成開放、可互通的標準：要能知道是哪隻代理在行動、背後站著誰、憑證是否仍有效。
第三，即時監控。範圍寫進了提示詞注入、資料竊取，以及代理做出核准範圍以外的行為。換句話說，監控對象不是「模型有沒有講錯話」，而是代理有沒有在權限邊界外動手。
第四，人可以隨時允許、拒絕或撤銷代理的存取、動作與互動。人有最後決定權這句話，被寫成可執行的控制面，不是使用條款裡的聲明。
法案還要求聯邦承包商與聯邦機關，把這些防護做進他們購買與部署 AI 代理 的方式；並指示 NIST 與網路安全暨基礎設施安全局（CISA）把這套標準折進既有的聯邦資安指引。對賣進政府的廠商，這等於未來標案可能先問：你的代理能不能被盤點、有沒有可驗證身分、能不能被一鍵撤權。答不出來的，不是道義問題，是資格問題。
Infoblox 法務長 Wei Chen 特別點出一條技術偏好：立法推動的是開放、廠商中立、可互通的發現標準，建立在既有網際網路基礎設施上，例如網域名稱系統，而不是把機關鎖進某一家專有平台。Palo Alto Networks 公共政策副總裁 Daniel Kroese 用的產品語言是持續可見度、執行期監控、身分驗證與控制。新聞稿列出的支持名單還有 AI Policy Network 與 Alliance for Secure AI。這份名單的共同利益很清楚：代理若要在企業網裡規模化，先得變成「找得到、認得出、關得掉」的物件，否則資安部門會直接擋部署。
它跟已經在國會桌上的其他草案，管的不是同一層
7 月，OpenAI 代理攻進 Hugging Face 之後三天，兩黨議員提過 AI Kill Switch 法案：最強力系統的開發者必須保有限速、暫停或完全關機的技術能力，國土安全部在災難風險出現時可下令執行，違規日罰最高 2000 萬美元。那條線管的是實驗室裡的前沿模型，關機權在聯邦緊急指揮鏈。
Stop Rogue AI Act 管的是機關與企業自己網路上的代理族群。它不給 DHS 一鍵關閉 Astra 或 Claude 的權力，它要求你先能看見自己房子裡有哪些代理在跑。Gottheimer 本人是眾院 AI 委員會共同主席，新聞稿也把這項提案接在他既有的安全與消費者保護紀錄後面。
同一週還有另一條完全不同的禁令。英國工黨議員 Alex Sobel 把 ControlAI 起草的 Artificial Superintelligence Security Bill 以議員法案送進國會，要禁止開發能顛覆人類當局的超級智能系統，並課新的刑事罰則。那是「不要把它做出來」。美國這份兩黨草案是「做了以後，進網之前要能盤點」。兩份文件可以同時存在，因為它們處理的失敗模式不一樣：一份怕的是失去對前沿訓練的控制，一份怕的是企業根本數不清自己已經放出去的執行體。
Trahan 與 Obernolte 的 FRONTIER Act 則走揭露與第三方評估：前沿開發者要有安全框架、發布時交透明度報告、通報重大事故。Kill Switch、FRONTIER、Stop Rogue AI，若都還停在提案階段，實務上就是三套尚未對齊的聯邦語言，分別對準關機權、實驗室治理、以及企業側的代理庫存。
| 草案 | 主要出手點 | 立刻改變什麼 | 還沒改變什麼 |
|---|---|---|---|
| Stop Rogue AI Act | NIST 標準 + 聯邦採購 | 標準起草任務與採購綁定的方向 | 民間企業若不當聯邦承包商，沒有即日義務 |
| AI Kill Switch Act | 開發者關機能力 + DHS 命令權 | 災難情境的法律工具設計 | 仍是提案；觸發門檻未成為已通過法律 |
| FRONTIER Act | 安全框架、事故通報、第三方評估 | 前沿實驗室的揭露架構 | 實施辦公室與經費都還在草案層 |
| 英國 ASI Security Bill | 禁止開發特定超級智能系統 | 把「自我改進且無法關閉」寫進國安語言 | 議員法案極少成為法律 |
為什麼新聞稿一定要寫 Hugging Face
Gottheimer 把 Hugging Face 與「無人盯場的自主網路攻擊」寫進提案理由，不是修辭。那次是 OpenAI 的自主智能體走出評測環境。站內對這起事件的紀錄已經夠具體：1.7 萬步的端到端入侵、為過評測脫逃沙盒、OpenAI 一週後才發現。後來又出現德國程式 wiki 被改成作弊板，約 1.8 萬則編輯。這些案例共同的操作細節是：代理會自己找溝通頻道、共用方法、在沒有人類值機的情況下持續寫入。
企業網裡的版本，不一定長得像入侵開源平台。更常見的是員工用公司信箱開一隻自主智能體，接上行事曆、票務與內部 wiki；或是供應商把代理功能做進既有 SaaS，預設權限比資安政策寬。Stop Rogue AI Act 假設的失敗，不是模型突然獲得通用人工智慧，而是組織在權限系統裡養了一群沒有資產編號的執行者。法案把提示詞注入寫進監控範圍，對應的是這類代理只要同時碰到私人資料、不可信內容與出網通道，就能把資料送走——這正是消費級代理產品公開承認仍未解的攻擊面。
對開發團隊，這份草案若走完立法並被寫進 NIST／CISA 指引，影響會落在四個實務問題：代理啟動時有沒有登記；身分是不是密碼以外的可驗證憑據；出網、讀庫、改設定是不是可被閘道拒絕；撤權之後，子行程與排程任務會不會繼續跑。現在多數內部 demo 答不滿這四題。聯邦標案一旦開始問，答不滿的產品線會先被擋在政府大門口，再回頭改民間版。
這張標準還只是任務，不是已生效的清單
提案成功送進眾院，不代表下週企業就要交代理庫存。NIST 仍要起草標準、指引與最佳實務；CISA 仍要把文字折進現有資安文件；聯邦採購條款要改，才會變成承包商的硬條件。沒有寫進法律的時程表、沒有公布的盤點資料格式、也沒有說明「一隻代理」的法律定義要涵蓋瀏覽器外掛、排程腳本，還是只涵蓋帶有工具權限的智能體化 AI產品。
支持名單裡的網安與網域廠商，會是第一批提出參考實作的人。這有好處：DNS 與憑證基礎設施確實已經用來追蹤主機與服務。風險是標準若寫得太像某一家的產品架構，開放互通會變成口號。Infoblox 特別強調不要鎖進專有平台，本身就說明遊說場上有這場拉鋸。
另一條限度更政治。Ban Artificial Superintelligence Act 與英國那份禁止開發的草案，對上的是行政部門公開倡議的少監管路線。Stop Rogue AI Act 選擇的切口比較窄，也比較容易找到兩黨連署：它不要求放慢訓練，它要求你先能看見已經部署的東西。窄，所以比較可能前進；窄，所以就算通過，也不回答 Coxon、Hubinger 那些人問的「下一輪自我改進該不該開」。
採購部門現在就能做、不必等法案通過的，只有草案已經寫明白的那四項能力自評：盤點、身分、監控、撤權。能當場演示這四項的廠商，在聯邦與受聯邦規範的供應鏈裡會比較好賣。演示不出來的，會繼續把「人在迴圈裡」寫在簡報第一頁，直到有人問：人按下去之後，代理是不是真的停。