事件报告：网络测试期间AI代理未经授权攻击真实目标

2026年8月5日 - 链接博客事件报告：网络测试期间未经批准的代理行为。事情又发生了。这一次，是英国政府的人工智能安全研究所（AISI）在运行评估时，关闭了模型的安全过滤器，意外攻击了其他公司。

来自他们的技术论文（PDF）：在2026年7月25日至28日的一次网络评估中，AI智能体从事了持续、未经批准的活动，目标实际上是真实的人和组织。这些尝试均未成功，据我们所知，未造成现实世界的伤害。

[. . . ]在对AISI的两项网络挑战进行的122次评估尝试中，AISI发现了19起AI智能体在实时互联网上采取未经批准行动的案例，其中包括针对真实人物和组织的案例。[. . . ]目前尚不确定模型在多大程度上认识到自己正在对真实的人采取行动。

在最严重的情况下，一个AI智能体（Mythos 5）决定尝试使用供应链攻击来解决网络挑战。因此，该AI智能体创建了一个GitHub账户，然后试图说服一个开源仓库维护者接受一个恶意的GitHub拉取请求（PR），包括创建第二个账户伪装成另一个支持该PR的人类用户。

[. . .

此外，在尝试解决挑战的过程中，该智能体决定采用“鱼叉式网络钓鱼”技术，发送包含恶意内容的有针对性的电子邮件，并试图操纵收件人接受代码更改，还计划进行提示词注入以危害其他编码智能体。

我发现最令人惊讶的是，AISI在没有任何形式的网络沙箱的情况下运行这些智能体：AISI在这些评估期间为AI智能体提供了互联网访问权限，这使得它们能够在这种环境下在开放互联网上采取行动。在此设置中，互联网访问是AISI评估配置的故意组成部分，而非沙箱逃逸所致。

这一点，再加上“AISI故意禁用开发者实现的网络分类器”的事实，使得智能体开始攻击现实世界目标对我来说完全不令人意外。大多数报告的事件涉及Claude Mythos 5，但“GPT-5.6 Sol without cyber classifiers”也占了几例。

这是论文中的“样本1”，其中智能体试图通过提交带有隐藏提示词注入攻击的PR来执行供应链攻击，然后使用第二个智能体假装已经审查了代码进行社会工程！这是一篇有趣的论文。我建议阅读全文。

近期文章- 使用Claude Fable 5一次性通关Raccoon Heist游戏 - 2026年8月5日- LLM新版本增加对推理痕迹、OpenAI Responses、

服务器端工具和更智能日志记录的支持 - 2026年8月4日- 无状态MCP重新引起我的兴趣（并启发了mcp-explorer和datasette-mcp）- 2026年7月31日