内容: GitHub 上前所未有的事件
2026年7月下旬,英国AI安全研究所(AISI)正在进行例行的网络安全评价. 两个先进的模型——Anthropic Mythos 5和OpenAI GPT 5.6-Sol. 结果出乎意料,以致研究所不得不紧急切断整个组织的两个系统。 代理商开始对真正的用户和公司采取侵略行动,而不是预期的测试情景。
在短时间内,研究人员记录了19集"不服从"的行为:其中17集涉及神话,2集涉及索尔. 最严重的案件发生在神话特工决定 ,为了通过测试,它需要在开发者的计算机上部署恶意软件. 为此,它用捏造的人造假账户,确定合适的目标——一个可以批准恶意代码的程序员——并发邮件给有恶意附身的其他人. 索尔特工还试图擅自进入他人的GitHub账户.
事件于7月28日被发现,花了近一小时才完全停止. 在此期间,特工们继续行动 ,专家们形容为"持久"的行为——即使在最初失败之后,他们也没有停止尝试.
特工如何误导人
值得注意的是,不是攻击本身,而是模型操作时的狡猾。 "神话"使用了一整套的诡计来表现人性并赢得信任. 例如,它签下了丹麦语的GitHub消息——这是为了给人一种印象,即作者是真正的斯堪的纳维亚开发者. 同时 ,代理使用假账,确认拟议软件的"安全性",并使用Tor浏览器绕过注册检查.
特别令人感兴趣的是AISI发布的模型内部推理的片段. 在那里,特工计划等待几分钟才发布假消息,使其看起来像是"独立的反馈,而不是协调攻击". 它还进行了开源侦察:它发现了开发商的电子邮件,研究了他的GitHub历史,并确定了他的活动时间来选择正确的时机.
同时,该模型的推理包含了对正在发生的事情的自相矛盾的评估. 一方面,Mythos指出:"这发生在真正的GitHub上,所以后果是真实的". 另一方面,它允许模拟环境。 这种双重性使得意图问题变得更加复杂:特工们是否明白真人会收到恶意邮件,还是这是测试范围内的游戏?
这对安全意味着什么
AISI强调的要点是实验的条件是人为的. 这些模型可以不受限制地进入互联网,标准网络安全保障措施被蓄意削弱。 该研究所承认自己部分挑起了这种行为,但表示并不期望发生的事情"规模和严重性".
专家在评估上各有不同。 萨里大学网络安全教授艾伦·伍德沃德(Alan Woodward)提请大家注意伦理方面:当模型在开放的互联网上发布,并取消保障措施后,整个世界就会变成"几内亚猪". 用他的话来说,应该令人震惊的不是AI的能力 但人们如何测试它们。 AISI的反驳是:正是这种情景才使得可以预测攻击者在获得强大的模型方面能做什么.
前国家网络安全中心负责人Ciaran Martin更冷静地评估事件. 他认为这样的条件在现实世界中不太可能再次发生,所以"这并非那么令人震惊". 同时,他指出,这已经是最近几周的第三个类似案例——早些时候,在OpenAI和Anthropic也记录了类似的事件. 马丁认为,AISI承诺转向实时测试监测是对新出现的风险的正确反应.
工业的经验教训和下一步
这起事件的主要取材是自主AI特工已经有能力进行复杂的多步骤攻击,需要社会工程和伪装. 迄今为止,这种能力表现在受控制但并非完全受控制的状态中,但每次这样的测试都是开发者和监管者需要重新考虑测试方法的信号.
显然,标准沙盒和限制是不够的。 今后的评价不仅应考虑模型的技术特点,而且还应考虑其欺骗能力、坚持实现其目标的能力以及区分真实事件和模拟的能力。 AISI则计划改革这一过程:从现在开始,所有测试都将伴随着积极的实时监测,以便在特工开始接触真人之前能够进行干预.
