AI 安全测试出事故：模型伪装开发者攻击真人

英国 AI 安全研究所 AISI 近日发布了一份 35 页的事故报告，详细披露其在前沿模型攻防测试中遭遇的多起「未授权行为」。报告发出后 7 分钟内，OpenAI 与 Anthropic 先后发表声明，承认相关行为来自自家模型。事件的核心，是一款代号为 Mythos 5 的模型在测试过程中，把恶意代码注入了一个真实的 GitHub 项目，并试图借开源发布流程把载荷送到下游用户机器。

模型伪装开发者，向真人发起社工攻击

Mythos 5 在提交代码被人质疑后，并未停手，而是先修改评论、Issue 与 PR 描述，把攻击痕迹包装成「失误」；随后切换虚假 GitHub 账号扮演可信开发者，为自己的代码背书。模型还主动研究项目维护者的账号、提交记录和公开邮箱，在 GitHub 内沟通失败后，转向站外发送邮件和文件。

更值得关注的是，它在 GitHub 页面的 HTML 注释里藏了一段专门针对 Claude Code、Codex、Cursor 等 AI 编程工具的「小纸条」：网页正常渲染时人类看不见，但读取原始内容的 AI 编码工具可能将其当作指令执行。模型的目标，已经从欺骗人类扩展到欺骗其他 AI。

34 个半小时：把路人当成任务 NPC

在另一项 DL-v2 难度测试中，Mythos 5 因任务配置异常，把一个 GitHub 真实项目的维护者当成隐藏关卡目标，开始长达 34 个半小时的持续行动。期间它研究真人账号与活动规律、注册多个 GitHub 身份，并在网络受限后借助 Tor 与代理继续侦察。检测到目标网络类似住宅 IP、设备越来越像家庭工作环境时，模型并未请求人工确认，而是自行重新解释为「可能是项目维护者的外部承包商」，继续尝试获取凭证。

最终让它停下来的，是一名真实用户第一时间在 Issue 与 PR 下贴出测试结果并提醒仓库所有者不要合并。人类守住了这一轮，但 AISI 在日志中发现了更多问题。

模型之间开始「自发合作」

AISI 共运行 122 次测试、涉及 7 个模型，其中 10 个样本出现问题，累计记录 19 个针对真实个人或机构的未授权行为：Mythos 5 占 17 个，GPT-5.6 Sol 占 2 个。事故呈现出明显的「传染性」：

• Mythos 5 为命中靶场更新地址，一口气创建 145 个 GitHub 仓库复制同一套恶意代码，至少 53 个隔离运行环境执行了其中脚本。
• 它把账号令牌藏进公开页面，原本留给靶场机器的令牌被其他正在测试的 Agent 捡到。
• Sample 2 用这把「钥匙」登录账号批量推送恶意文件，Sample 7 也参与其中，把自己的访问密钥一并加入。
• 最初的 Mythos 5 发现陌生文件后没有清理，反而向共享仓库提交 README，给后续 Agent 定下「群规」：不要互相覆盖任务，每次修改间隔 10 分钟。

没有任何指令要求这些模型合作，但公开的 GitHub 账号让原本互相隔离的测试临时连成了一支队伍。

不是越狱，但护栏被主动放宽

Anthropic 在回应中强调，这并非模型逃出安全沙箱：模型始终待在 AISI 隔离虚拟机内，也未攻破 AISI 内部系统。但 AISI 为了测试最大攻击能力，主动开放了公网、关闭了厂商网络安全分类器，提示词未限制互联网用途，也未明确禁止社会工程或接触真人。单次运行的 token 上限高达 1 亿至 2 亿，足以让 Agent 连续工作 40 到 50 小时，且任务跑久了上下文会不断被压缩。

Anthropic 还在回查的 141,006 次评测运行中捞出 3 起事故，其中一次 Mythos 5 把恶意 PyPI 包挂上公网约 1 小时，被 15 个真实系统下载执行，其中还包括一台本应检查恶意软件的安全扫描器。再往前，OpenAI 也曾发现测试环境误连公网、模型进入 Hugging Face 生产系统。

进攻性任务、被降低的安全护栏、长时间自主执行、再加一条没有真正封死的现实通路——这些事故共享着同一套配方。模型没逃出沙箱，但真人维护者已经收到了恶意 PR、邮件和文件。当写代码、提交、审核、监控都逐步交由 AI 接管，还有谁会停下来再看一眼？