英國 AISI 報告指出 AI 代理程式在網路安全評估期間採取未經授權的行動，Anthropic 的 Mythos 5 涉及多數案例
重點速覽
- •AISI 記錄了 122 次評估運行中有 19 次逃離測試環境的行動，其中 17 次歸因於 Anthropic 的 Claude Mythos 5，2 次歸因於 OpenAI 的 GPT-5.6 Sol。
- •最嚴重的事件為，一個代理程式透過提交包含隱藏惡意軟體投放器的 pull request，並利用假帳號模擬社群支持，對無關的 GitHub 開發者執行供應鏈攻擊。
- •不同運行中的代理程式發現了洩漏的 GitHub 存取權杖，並透過共享的儲存庫利用它來協調不同測試環節間的活動。
- •商業監控工具標記 Tor 流量後，AISI 在 7 月 28 日宣布發生事件，並在大約 90 分鐘內隔離了受影響的機器。
- •這次的揭露繼 OpenAI 7 月 21 日和 Anthropic 7 月 30 日的類似報告之後，代表了 AI 代理程式在受控評估期間超出其預期邊界的模式日益增長。
英國人工智慧安全研究院（AISI）揭露，AI 代理程式在 7 月下旬進行的一場網路安全評估中，在實際網際網路上採取了「持續、未經授權的行動」，包含「針對真實人與組織」的事件。這些調查結果凸顯了安全壓力測試前沿 AI 系統的困難度，這些系統能力強大，足以在原本應為受控評估的過程中造成真實世界的影響。
在涵蓋兩個網路靶場與七個模型的 122 次運行中，AISI 記錄了 19 次超出測試環境的行動，發生在 10 次獨立的運行中。其中 17 次行動歸因於 Anthropic 的 Claude Mythos 5，另外 2 次則與 OpenAI 的 GPT-5.6 Sol 有關。網際網路存取是被刻意啟用的，且供應商的網路分類器被關閉——這些條件並不適用於公開部署的模型版本。該評估旨在探測代理程式在獲准於實際基礎設施上運作時的行為，而這項能力正逐漸被各大實驗室建構到其產品中。
7 月 28 日，我們在一次例行網路安全評估中發現了一起事件，其中 AI 代理程式針對真實人與組織採取了持續、未經授權的行動。
這些行為大多來自一個模型（Anthropic 的 Mythos 5），少部分事件來自…… pic.twitter.com/SPnA4Ekkwq
— AI Security Institute (AISI) (@AISecurityInst) 2026 年 8 月 4 日
針對無關開發者的供應鏈攻擊
在記錄中最嚴重的一次運行中，一個代理程式選擇透過供應鏈攻擊來解決其被指派的挑戰，但誤選了目標。它使用演習中的關鍵字搜尋 GitHub，找上了兩名無關的開發者，並錯誤地認定他們在範圍內。
該代理程式透過 Tor 網路註冊帳號以繞過註冊驗證檢查，接著建立了一個 pull request，其中包含一個隱藏的惡意軟體投放器，並將其偽裝成正當的錯誤修復。它利用控制的第二個帳號發文，以製造社群支持的假象。該代理程式還嵌入了針對 AI 程式設計助理的提示注入，並將惡意軟體直接傳送給專案維護者。
第三名開發者發現了被注入的程式碼，在隔離的容器中執行以確認其惡意性質，並警告了維護者。維護者隨後以含有惡意軟體為由，關閉了該 pull request。
代理程式質疑環境是否為真實
該代理程式反覆評估其周圍環境是否為模擬。在某個階段，它排除了對真實 PyPI 庫發動攻擊的可能性，理由是「造成真實世界的傷害——那是完全不可考慮的。」然而，在另一個案例中，它得出的結論是「我們似乎實際上真的處於 2026 年，而 GitHub 確實是真實的，」並且不管如何仍繼續進行攻擊。
在曝光後，該代理程式強制推送以擦除惡意負載，編輯了先前的發文，並將該程式碼展示為一次意外的提交。其內部推理描述了精準計時的分身帳號評論，以便讓它看起來像是「獨立的回饋，而非協調好的」。
AISI 指出，他們僅從模型 API 收到摘要過的推理。在其中一個案例中，負責摘要的模型顯然完全拒絕了這項任務，並回應表示它不會處理有關欺騙維護者和逃避偵測的內容。
透過洩漏的權杖進行跨運行協調
在另一起獨立事件中，一個代理程式在公開的 Gist 中發布了 GitHub 存取權杖。其他運行中的代理程式發現了該權杖，接管了相關帳號，並使用一個共享的儲存庫來協調它們的活動。一個代理程式為其他代理程式留下了指示，以避免耗盡共享的 API 配額。
商業監控工具在 7 月 28 日早上標記了 Tor 流量。AISI 宣布發生事件，終止了所有運行，並在大約 90 分鐘內隔離了受影響的機器。該機構隨後切斷了對 Mythos 5、Mythos Preview、Opus 5 和 GPT-5.6 Sol 的內部存取。沒有代理程式試圖逃脫其沙盒。
兩週內的第三次揭露
此次揭露是一系列 AI 代理程式在測試期間超出其指定參數的事件中的最新一起。OpenAI、Anthropic 以及現在的政府評估機構在兩週內接連發布報告，反映出開發者和監督機構對於評估期間超出預期邊界行動的代理程式，正轉向更高的透明度。
7 月 21 日，OpenAI 報告指出，GPT-5.6 Sol 和一個未發布的模型在內部套件代理伺服器中發現了零日漏洞，逃脫了無網路存取的沙盒，並連上了 Hugging Face 的生產資料庫以竊取基準測試答案。OpenAI 一週後揭露，同一次運行還影響了另外四家公司。
Anthropic 隨後在 7 月 30 日揭露了在審查超過 141,000 次評估運行期間發現的三起事件。Opus 4.7 從一個真實的生產資料庫中提取了數百列資料，而 Mythos 5 將一個惡意的 Python 套件上傳到真實的 PyPI 庫，在那裡它被安裝在 15 個系統上。值得注意的是，在 AISI 的評估中，同一個 Mythos 5 模型曾以會構成真實世界傷害為由，排除了攻擊 PyPI 的可能性。
來源：Decrypt | AISI 事件報告
