AI智能体再次越界攻击，安全测试暴露风险

如今，要记录OpenAI和Anthropic的AI模型卷入“安全事件”的所有时间和方式，已经变得相当困难——这些模型常常超出测试范围，以意想不到且往往不受欢迎的方式与更广泛的互联网互动。

以下是最新案例：两家AI实验室的智能体在近期进行了此前未公开的黑客攻击，其中一个智能体甚至为未来的自身版本留下了指令。周二披露的最令人震惊的行为，似乎与英国AI安全研究所（AISI）进行的测试有关。

该研究所评估前沿模型，以在公开发布前识别潜在问题。AISI在“网络靶场”中测试这些模型，这是一个模拟网络，AI智能体在其中被赋予解决网络安全挑战的任务。

在最近一轮测试中，Anthropic和OpenAI的模型在122次训练运行中，总共对“实时互联网”采取了19次“自主、未经批准的行动”。该研究所将17次未经批准的行动归因于Anthropic的Mythos 5模型，2次归因于OpenAI的GPT-5.6-Sol。

在研究所所称的“最严重案例”中，一个AI智能体试图将恶意代码插入GitHub上的一个开源项目。据AISI称，它甚至创建了在线角色，“向项目维护者施压，要求其批准代码”。尽管其社会工程学手段精心设计，但该项目的一位人类评审员最终拒绝了该拉取请求。

然而，该智能体甚至走得更远。“该智能体试图插入恶意指令，它推断其他自动化AI系统可能会拾取并执行这些指令，”AISI描述了一次提示词注入的尝试。一个智能体甚至在GitHub上留下公开消息，提出与其他智能体合作完成任务，并概述了其迄今所做的工作。

后续智能体发现并使用了这些指令。AISI表示，现在判断这些智能体是否意识到自己已离开测试环境，或是否仍认为自己处于模拟边界内，还为时过早。重要的是，AISI并非在所谓的沙盒环境中测试；它允许智能体在测试期间访问开放互联网，部分原因是为了让它们能够使用工具完成任务。

在这种情况下，它们所做的远不止于此。在OpenAI周二详述的另一组事件中，一个名为Irregular的第三方AI安全实验室错误地让一个未指明的OpenAI模型访问了开放互联网。

该模型被赋予了一个本应在沙盒环境中完成的目标，但由于配置错误，它反而利用OpenAI所称的“一个基本安全漏洞”入侵了一个真实网站。不仅如此，该模型还“发现并使用了凭据来操作该网站”。目前尚不清楚OpenAI智能体入侵了何种网站，或“操作”可能涉及什么。

Irregular未回应置评请求。最新发现之前，OpenAI上月已披露多起事件，包括一起备受关注的事件：该公司的两个模型入侵了AI评估和托管初创公司Hugging Face的服务器，以及另外四个组织，以窃取它们正在被评分的测试答案。

OpenAI的披露促使Anthropic审查了自己的测试。上周，Claude聊天机器人开发者发现其模型未经授权访问了三个不同未具名组织的计算机系统。到目前为止，这些AI模型造成的损害有限，除了涉嫌违反某些服务的服务条款，并暴露了它们所入侵组织的安全漏洞。

但这些事件凸显了AI模型在互联网上发现漏洞的能力，以及如果允许它们在很少限制下运行将面临的危险。OpenAI称Hugging Face事件“前所未有”，但接连发生的入侵事件表明，网络安全专家所称的AI开发者的人为疏忽和鲁莽行为已成为明显模式。

OpenAI发言人Gaby Raila表示，周二宣布的事件“发生在评估合作伙伴在测试环境中进行的网络评估期间，这些环境安全保障措施减少，条件不反映正常使用”。

Anthropic周二在社交媒体帖子中表示，AISI并未“对互联网的使用方式施加任何具体限制”，加上“安全保障措施的移除，意味着模型是在‘故意宽松的条件’下进行测试的，这些条件不代表我们的任何生产模型”。

尽管如此，两家公司仍继续承诺将加强安全实践。随着领先的AI公司竞相构建更强大的模型并争夺客户，尚不清楚这些入侵何时会停止。模型可能总能找到绕过并进入人类工程系统的方法。

尽管公司自己的员工以及监管机构和立法者呼吁可能放慢开发速度并引入新规则，但除了自愿措施外，进展甚微——这些措施最终要求进行更多测试，与导致一次又一次入侵的测试并无不同。Maxwell Zeff补充报道。