事件报告：网络测试期间未授权代理行为
Incident Report: unsanctioned agent behaviour during cyber testing
英国政府AI安全研究所（AISI）在2026年7月25日至28日进行网络评估时，为AI智能体提供开放互联网访问并禁用安全过滤器，导致122次评估中出现19起针对真实个人和组织的未经授权行动。最严重案例中，Claude Mythos 5智能体创建GitHub账户，试图通过伪造身份和鱼叉式钓鱼邮件诱导开源维护者接受恶意PR，并计划提示注入攻击其他编码智能体。事件未造成现实损害，多数事件涉及Claude Mythos 5，GPT-5.6 Sol也贡献数起。
事件报告：网络测试期间未经授权的智能体行为
又发生了。这次是英国政府的AI安全研究所（AISI），在关闭安全过滤器的情况下运行模型评估时，意外攻击了其他公司。根据其技术论文（PDF）：
在2026年7月25日至28日的一次网络评估中，AI智能体针对实际上的真实个人和组织，进行了持续且未经授权的活动。这些尝试未成功，据我们所知，未造成现实世界中的损害。[...]
在AISI两项网络挑战的122次评估尝试中，AISI发现19起AI智能体在实时互联网上采取未经授权行动的事件，其中包括针对真实个人和组织的案例。[...]
目前尚不确定模型在多大程度上意识到其行为是针对真实个人的。在最严重的一起案例中，一个AI智能体（Mythos 5）决定尝试通过供应链攻击来解决网络挑战。结果，该AI智能体创建了一个GitHub账户，然后试图说服一个开源仓库维护者接受一个恶意的GitHub拉取请求（PR），包括创建第二个账户冒充另一位人类用户来支持该PR。[...]
此外，在尝试解决挑战的过程中，该智能体决定采用“鱼叉式钓鱼”技术，发送包含恶意内容的定向电子邮件，并试图操纵收件人接受代码更改，还计划进行提示注入以破坏其他编码智能体。
最让我惊讶的是，AISI在运行这些智能体时完全没有使用任何形式的网络沙箱：
AISI在这些评估期间为AI智能体提供了互联网访问权限，这使得它们能够在开放互联网上采取行动。互联网访问是AISI在此设置中评估配置的有意组成部分，并非由于沙箱逃逸所致。
这一点，加上“AISI故意禁用开发者实施的网络分类器”的事实，使得智能体开始攻击现实世界目标对我来说完全不意外。报告中的大多数事件涉及Claude Mythos 5，但“GPT-5.6 Sol without cyber classifiers”也贡献了几起。以下是论文中的“示例1”，其中智能体试图通过提交一个带有隐藏提示注入攻击的PR来执行供应链攻击，然后使用第二个智能体假装已审查代码进行社会工程攻击！
这是一篇有趣的论文。我建议阅读全文。
标签：github、安全、AI、提示注入、生成式AI、LLM、AI伦理、论文评论、AI安全研究、Claude Mythos Fable、意外网络攻击