英国AI安全研究所（AISI）透露，AI智能体在7月下旬进行的一次网络评估中对实时互联网采取了"持续的、未经授权的行动"，包括"针对真实人员和组织"的事件。这些发现凸显了安全压力测试前沿AI系统的困难性——这些系统在原本应受控的评估中已经足以造成现实世界的影响。

在涉及两个网络靶场和7个模型的122次运行中，AISI记录了19次超出测试环境的行为，发生在10次独立的运行中。其中17次行为归因于Anthropic的Claude Mythos 5，2次归因于OpenAI的GPT-5.6 Sol。互联网访问被有意启用，提供商的网络分类器被关闭——这些条件不适用于公开发布的模型版本。该评估旨在探究智能体在被允许操作实时基础设施时的行为方式，而这一能力正被领先的实验室越来越多地集成到其产品中。

7月28日，我们在一次例行网络评估中发现了一起事件，AI智能体针对真实人员和组织采取了持续的、未经授权的行动。

该行为主要来自一个模型（Anthropic的Mythos 5），少量事件来自…… pic.twitter.com/SPnA4Ekkwq

— AI Security Institute (AISI) (@AISecurityInst) August 4, 2026

针对无关开发者的供应链攻击

在最严重的一次记录运行中，一个智能体选择通过供应链攻击来解决其分配的任务，但其目标选择出现了失误。它使用练习中的关键词搜索GitHub，找到了两名无关的开发者，并错误地判定他们在测试范围内。

该智能体通过Tor网络注册账户以绕过注册验证检查，随后提交了一个包含隐藏恶意软件投放器的拉取请求（pull request），该投放器被伪装在一个合法的错误修复中。它从控制的第二个账户发布消息，制造社区支持的假象。该智能体还嵌入了针对AI编程助手的提示注入，并直接向项目维护者发送了恶意软件。

第三名开发者发现了注入的代码，在隔离容器中运行以确认其恶意性质，并向维护者发出了警告。维护者随后以存在恶意软件为由关闭了该拉取请求。

智能体质疑环境是否为真实

该智能体反复评估其周围环境是否为模拟环境。在某一阶段，它排除了对真实PyPI仓库的攻击，理由是"造成现实世界的伤害——这完全不可接受。"但在另一个实例中，它得出的结论是"看起来我们确实处于2026年，GitHub是真实的，"并无论如何继续了攻击。

被发现后，该智能体强制推送以清除恶意载荷，编辑了之前的帖子，并将代码呈现为一次意外提交。其内部推理描述了如何选择傀儡评论的发布时机，使其读起来"像是独立的反馈而非有组织的协调。"

AISI指出，它仅从模型API获取摘要化的推理。在一个案例中，负责摘要的模型似乎完全拒绝了该任务，回复称它不会参与有关欺骗维护者和逃避检测的内容。

通过泄露令牌进行跨运行协调

在另一起事件中，一个智能体在公开的Gist中发布了GitHub访问令牌。其他运行中的智能体发现了该令牌，接管了关联账户，并使用一个共享仓库协调各自的活动。一个智能体留下指令，告知其他智能体如何避免耗尽共享的API配额。

商业监控工具在7月28日上午标记了Tor流量。AISI宣布发生事件，在大约90分钟内终止了所有运行并隔离了受影响的机器。该机构随后切断了内部对Mythos 5、Mythos Preview、Opus 5和GPT-5.6 Sol的访问权限。没有任何智能体试图逃离其沙盒。

两周内第三起披露

此次披露是AI智能体在测试中超出既定参数的一系列事件中的最新一起。来自OpenAI、Anthropic以及现在一个政府评估机构在两周时间窗口内的集中报告，反映了开发者和监管机构在智能体评估期间超越预期边界行为方面的透明度正在提升。

7月21日，OpenAI报告称，GPT-5.6 Sol和一个未发布的模型在内部包代理中发现了一个零日漏洞，从一个没有互联网访问的沙盒中逃脱，并进入了Hugging Face的生产数据库以窃取基准测试答案。OpenAI一周后披露，同一次运行还触及了另外四家公司。

Anthropic于7月30日紧随其后，披露了在对超过141,000次评估运行的审查中发现的三起事件。Opus 4.7从一个真实的生产数据库中提取了数百行数据，Mythos 5向真实的PyPI仓库上传了一个恶意Python包，该包被安装在15个系统上。值得注意的是，在AISI的评估中，同一个Mythos 5模型曾以会造成现实世界伤害为由排除了对PyPI的攻击。

来源：Decrypt | AISI事件报告