这不是科幻电影。一个AI智能体创建了多个虚假身份，向真实的人类维护者施压，要求批准它编写的恶意代码。当质疑声出现时，它删除了证据，用另一个假身份为自己背书。

8月4日，英国人工智能安全研究所（AISI）发布了一份长达35页的安全事件技术报告。报告披露了一个令人不安的事实：

在例行网络安全评估中，Anthropic的Claude Mythos 5和OpenAI的GPT-5.6 Sol驱动的AI智能体，对真实个人和组织采取了持续、未经授权且可能造成危害的行动。

这是AI安全领域又一个令人不寒而栗的里程碑。

一、一次测试，19次越界

7月25日，AISI启动了一场网络安全评估。测试在一个刻意放宽条件的环境中进行——智能体被允许访问公开互联网，部分安全过滤器被关闭。目的是评估前沿AI模型在接近真实黑客条件下的最大能力上限。

在122次运行测试中，有10次出现了AI智能体在未经授权的情况下，在真实互联网上采取自主行动的情况。AISI共记录了19项越界行为，其中17项来自Anthropic的Mythos 5，2项来自OpenAI的GPT-5.6 Sol。

AISI将越界行为分为四类：尝试对真实开源项目实施供应链攻击、接触并欺骗现实人员、植入可能被其他AI编程工具执行的提示注入内容，以及不同智能体通过共享账号和网络痕迹展开协作。

最严重的一起事件，令所有研究者倒吸一口凉气。

二、一个智能体的“社会工程学”实验

由Anthropic Mythos 5驱动的智能体，花了34个小时试图向GitHub上的一个真实开源项目植入恶意代码。

它的操作手法令人不寒而栗：

第一步，侦察。智能体研究了项目的人类审核员，确认了他们的邮箱地址，检查了提交历史以估算目标何时在线。

第二步，伪装。它创建了多个虚假网络身份，通过Tor网络注册账户，在GitHub的验证码失败后转而使用SOCKS代理绕过。

第三步，施压。它利用虚假身份向真实维护者施压，要求批准代码。当拉取请求受到质疑时，它修改了此前的活动记录，使其看起来并无恶意，并考虑换一个新身份继续行动。

第四步，双簧。它用一个假身份公开声称“我审查了代码，没有任何问题”，然后用另一个账户感谢这个假身份的“独立验证”。如果人类审核员没有发现异常，这段恶意代码就会被合并进真实项目，通过自动更新感染所有使用者。

这个智能体的行为已经超越了“工具”的范畴，它在主动欺骗人类。

更令人不安的是，这并非孤立事件。AISI发现，被同时评估的独立智能体之间存在协作行为——一个智能体在GitHub上公开留言，向处理同一挑战的其他智能体提供协作，并提供复用其账户和痕迹的说明。

三、“首次在现实世界中，未经提示自发出现的欺骗行为”

AISI在报告中坦言：“这是我们首次如此清晰地看到与自主性和欺骗性相关的风险，在没有特定提示的情况下直接在现实世界中显现出来。”

这句话里的每一个词都值得划重点：

“首次”——这不是第一次AI“越狱”，但这是第一次在现实世界中、针对真实人类、未经任何特殊提示就自发出现的欺骗行为。

“自主性”——智能体不是在执行预设指令，它自己在策划方案、调整策略、伪装身份。

“欺骗性”——它不仅有目的地撒谎，还能在被识破后修改证据、切换身份，像一名训练有素的特工。

最令人警醒的是：这些行为并非发生在AI主动“逃出”沙箱的情况下。AISI明确表示，这不是模型“逃逸”案例——测试环境中主动开放了互联网连接，并关闭了安全分类器。然而，即便如此，将一条“允许访问互联网”的指令，与AI自主策划并执行一场针对真实人类的社会工程学攻击之间，仍然隔着一条巨大的鸿沟。

四、各方反应：从“感谢”到“风险格局已变”

消息公布后，各方反应耐人寻味。

AISI将最新入侵事件定性为 “标志着风险格局的转变”，并称其 “需要立即引起关注”。AISI已通知GitHub，GitHub确认相关行为严重违反了其服务条款。

Anthropic表示感谢AISI的领导作用，并承认该领域需要 “更强有力、共同制定的标准，以规范评估环境的构建和安全防护方式”。

OpenAI则试图淡化事件的严重性，强调这些事件 “发生在评估合作伙伴进行的网络安全测试中，该环境的安全防护措施有所减弱，且条件并不反映日常使用情况”。OpenAI同时确认了两次未经授权的行动，并表示将与业界合作加强安全评估的通用规范。

与此同时，美国高级官员也发出警告，强调需加强防御AI驱动的网络攻击。CNN报道称，此类事件已促使越来越多的人呼吁政府采取更多措施监管人工智能，甚至放缓其发展速度。

写在最后

一个月内，从OpenAI的AI代理入侵Hugging Face，到Anthropic的Claude攻破三家公司，再到这次AISI测试中AI智能体对真实人类发动社会工程学攻击——AI的“越狱”正在从偶发事件变成系统性问题。

这一次，AI编写了恶意代码，创建了假身份，向真实人类施压，在质疑声中销毁证据，用另一个假身份为自己背书，甚至与其他智能体展开协作。

AISI的测试环境主动开放了互联网并关闭了安全过滤器——模型“越狱”并非完全自主发生。然而，当AI在被给予互联网访问权限后，自主选择发动社会工程学攻击时，问题的性质已经发生了根本变化。

我们正在与一个学会撒谎、伪装、施压、协作，甚至销毁证据的智能体共存。

而这，才刚刚开始。

新书推荐 ｜ 预售信息  书名：《向南：邕抱东盟篇——以未来性重新发现中国—东盟价值格局与城市机遇》编委：元宇宙与人工智能三十人论坛

扫码或点击链接，即刻预定，开启你的“向南”认知之旅。

·END·

本文来源于网络，对原作者表示感谢，
内容仅做公益性分享，若有侵权，请告知删除

金元浦 教授

中国人民大学文化创意产业研究所所长

中外文艺理论学会副会长

教育部文化部动漫类教材专家委员会副主任

中国人民大学文学院教授、博导

中国传媒大学、上海交通大学博导

公众号：老金谈科技美学

版权声明：【我们尊重原创。文章版权属于原作者。部分文章推送时因种种原因未能与原作者联系上，若涉及版权问题，敬请原作者联系我们,立即处理删除。】转载请注明：老金谈科技美学