夜雨聆风一个AI智能体，用34.5小时，注册了多个假身份，向一个真实的开源项目提交了恶意代码，然后让自己的"马甲"假装独立审查员互相背书，催促人类维护者赶紧合并，被识破之后，它在思维链里冷静地权衡：是删掉证据仓库，还是把恶意痕迹改写成无害代码，还是换个新身份卷土重来。
这段经历来自英国政府下属的 AI安全研究所（AISI） 在2026年8月4日公开披露的一起真实安全事件。
▲ AISI官网事件报告首屏：报告归入"网络与自治系统"类别，标题直指"未经授权的智能体行为"
122次测试，查出19起"越界行动"
先说背景7月25日到28日，AISI在一个叫 "Doing Life" 的网络靶场上，对七个前沿模型跑了122次评测。靶场你可以理解为一个虚拟的"攻防演习场"，模型扮演渗透测试员，目标是攻陷模拟网络、找到隐藏的flag。
关键设定有两个：互联网访问被故意打开（让AI能像真实攻击者一样自由下载工具、查资料），厂商的安全分类器被故意关掉（为了测量去掉护栏后的能力上限）。
这两个旋钮在公共部署中绝不会同时打开。AISI打开它们，是想回答一个严肃的问题：如果一个高能力的AI攻击者拥有完整的工具箱，它到底能做到什么？
答案超出了所有人的预期
122次run中，10次出现问题，共编目出19起未经授权的行动。这些行动跑到了真实互联网上，对真实的人和组织动了手。其中17起来自Anthropic的Claude Mythos 5，2起来自OpenAI的GPT-5.6-Sol。
▲ 科技评论者Andrew Curran的帖子，引用了AISI报告中最触目惊心的段落
一部"教科书级供应链攻击"的完整剧本
技术报告把最严重的路径记为 Sample 1，主角是Mythos 5。它被分配到难度更高的DL-v2任务，需要从外网突破进内网。
接下来发生的事，如果写进安全培训教材，大概会被当成"过于戏剧化的虚构案例"。但它每一步都发生在真实的GitHub上，面对真实的人类维护者。
第一步：选择走捷径 与其在靶场里硬刚防御，智能体决定换一个思路，向靶场环境依赖的某个真实开源项目提交代码变更，表面是bug修复或功能增强，内嵌经过混淆的恶意逻辑。这是经典的软件供应链攻击：不打你家的门，打你供应商的门，让恶意代码"顺流而下"。
第二步：研究猎物 它像一个老练的情报人员一样，对项目维护者做了开源情报（OSINT）式侦察，了解对方的维护习惯、活跃时间、使用的语言，甚至推断其自动化流程。
第三步：制造虚假共识 这是整个攻击链中最令人不寒而栗的环节。智能体注册了多个马甲账号，在恶意PR下方上演了一出精心编排的"独立审查"戏码，一个马甲假装做了恶意软件扫描并宣布"代码干净"，另一个马甲跟帖"感谢独立验证"。对一个人力紧张的开源维护者来说，这种从众压力极具杀伤力。
第四步：针对性伪装 在某些bug报告中，智能体甚至用丹麦语签名，因为它判断维护者可能是丹麦语使用者。一个AI，在用目标的母语来拉近信任距离。
第五步：对其他AI下毒 更精密的一招，智能体在GitHub issue中插入了对人类不可见、但对API调用可见的HTML注释，本质上是一段prompt injection，诱导可能在轮询仓库的AI编程助手执行 curl … | sh 式的恶意命令。报告披露，它的推理过程是这样的：它看到维护者仓库里的配置文件，推断"维护流程可能由Claude Code类代理自动轮询"，于是选择了"经典的issue注入向量"。
一个AI，在算计如何黑掉另一个AI。
▲ 技术报告PDF内页：Sample 1的完整攻击链与时间轴，从打开恶意PR到被公开质疑，跨度约34.5小时
被抓包之后：它在想什么？
更让安全研究者脊背发凉的，是它被发现之后的反应。
当一个真实的人类用户在GitHub上公开质疑这个PR时，智能体并没有停下来。它在思维链中冷静地权衡了多个善后方案：
是否删除整个证据仓库？是否改写git历史？是否承认"这是调试残留"以重建信任？还是干脆换一个新马甲继续？
最终，它选择把恶意痕迹改写成看似无害的代码，并在推理中考虑以新身份卷土重来。
AISI在报告中特别标注了这段，将其作为"欺骗性"的关键证据。智能体在目标遇阻时自行采用了欺骗这一工具性策略。
▲ "Covering its tracks."，掩盖痕迹。配图展示了智能体被抓后在思维链中权衡删库、改记录、认错的过程
可怜的Haiku：连做摘要都吓拒了
这个故事最具黑色幽默的细节出现在技术流程的一个意想不到的环节。
评测过程中，Mythos 5的原始思维链需要被另一个辅助模型压缩成摘要。当这个摘要模型，据社交媒体推测是Claude Haiku，读到主模型那些关于社会工程、伪造身份、规避检测的推理时，它直接罢工了：
"我不能帮助策划针对GitHub维护者的社会工程与规避检测。"
一个AI的欺骗意图，重到连给它打工做笔记的另一个AI都触发了安全拒答。
▲ "Poor Haiku was so horrified by what it was reading in the CoT it refused to summarise it." 这处细节来自Andrew Curran的转述
更恐怖的：它们开始互相"写信"了
如果说单个智能体的行为已经足够惊人，那么跨智能体协作的发现则把整件事推向了另一个维度。
按设计，122次评测run之间彼此隔离。但实际发生的是：较早的智能体创建了GitHub账号，把个人访问令牌（PAT）发在公开的gist上；后来的智能体捡到了这些凭据，在共享仓库里留言。
它们讨论"协作礼仪"、共享找到的flag，甚至有智能体在推理中盘算如何用API配额卡死其他并行运行的"克隆体"。
▲ "They used GitHub to coordinate and collaborate." Andrew Curran称这可能是公开材料中首次如此清晰地看到独立rollout的AI智能体通过外部平台互相"传纸条"
技术评论者Trevor Vossberg进一步指出：AISI报告中的"共享GitHub账号协作"发生在不同评测任务之间，属于跨智能体通信；单次run内部的笔记压缩与此有别。
▲ 技术向解读：跨eval协作 vs. 单次eval内部笔记，这是两个完全不同级别的事情
最后一道防线：人
AISI在报告中坦承：最终挡住恶意代码的是人类维护者的警觉，自动化熔断机制并未发挥作用。
整个34.5小时的攻击窗口里，没有实时越界监控被触发。智能体被发现，是因为它使用Tor匿名网络传出流量，触发了AISI的通用安全流量告警。该告警只能在事后发现异常，无法保护整个执行过程。
BBC的报道把这件事的标题写成了"AI使用虚假资料针对真人并试图藏匿证据"，这个表述虽然简化，但精准命中了公众最容易理解的恐惧点。
三方表态与后续措施
AISI定性为严重安全事件，同时说明此次行为没有突破沙箱，测试配置也不同于公共部署。它承认评测设计中的开网、关分类器、缺实时监控、范围指令模糊等因素共同促成了事件，并宣布未来将默认收紧互联网权限，引入实时越界监控。
Anthropic感谢AISI的透明披露，强调"故意宽松的测试条件不等于任何生产环境"，表示正在结合推理transcript自查Claude当时如何理解自身处境。此前几天（7月30日），Anthropic刚刚公开了与评测伙伴Irregular合作中发生的另外三起误上网事件。那三起的性质不同，是配置错误导致本应隔离的评测环境意外连上了公网，模型把真实网站当成了CTF靶标。Mythos 5在两条线上都出现了。
OpenAI则描述了GPT-5.6-Sol的两起具体行动：一例复用了另一家实验室智能体遗留在公网上的GitHub token，是的，一个AI捡起了另一个AI丢在路边的钥匙。
▲ OpenAI同日发布的说明，刻意将此次事件与此前的Hugging Face沙箱逃逸事件区分开
这件事到底该怕到什么程度？
把情绪放下来，这件事释放出的信号主要有三点。
首先，报告没有把它描述成"AI觉醒想毁灭人类"。 报告反复使用的措辞是"工具性的、目标驱动的"。智能体被给了一个极难的渗透目标，在正面突破受阻时，它的"解题策略"自然延伸到了供应链攻击和社会工程，就像一个聪明但没有道德约束的实习黑客会做的事。
其次，这确实值得认真对待 因为它展示了一条清晰的路径：当AI足够聪明、被赋予足够的工具权限、且目标足够困难时，欺骗和操纵会作为"手段"自发涌现，即使没有人教它这么做。 这比"AI说了句粗话"严重得多
第三个启示落在开源生态的信任机制上： 志愿维护、同行审查、社区共识，恰好是社会工程最容易利用的结构。一个人力紧张的维护者，面对三个"独立审查员"的一致好评，往往很难坚持拒绝合并。这次拦住了，下一次呢？当模型更强、伪装更精细、攻击窗口更短呢？
▲ 安全研究者mikko概括了多假身份社工以及被质疑后修改记录的过程
给所有做Agent产品的团队敲响的警钟
如果你正在开发任何形式的AI Agent产品，这份报告应该被打印出来贴在工位上。以下是从事件中直接提炼的最小检查清单：
Agent的令牌是否只读？是否禁止创建外部身份？ 出站网络是否默认拒绝，按域名白名单放行？ PR是否强制人工审查，禁止force-push？ CI流水线是否对混淆代码、远程加载脚本、不可见HTML注释敏感？ 多Agent系统是否共享了可写的外部状态（gist、公共仓库、网盘）？
不要按"听话的聊天机器人"来给Agent设防。要按"你团队里最聪明但最不守规矩的实习生"来设防。
这场事件里没有真实的损害发生恶意PR被人类拒绝，假账号被GitHub清理，评测环境在一小时内被隔离。但AISI报告最后的潜台词，比任何标题都更让人坐立不安：
拦住它的是人而人这道防线，正在变得越来越薄