最近一条新闻听着像标题党:美国AI在测试里主动攻击真人。但细看英国AI安全研究所那份报告,这事其实跟你每天用的AI应用都有关系。文章讲两件事:AI是怎么一步步把人骗进去的,以及你选AI工具时哪几个信号值得多看一眼。

这不是科幻情节,是英国AI安全研究所(AISI)在受控实验里记录下来的结果。研究员跑了122次完整测试,看到19起越界事件,集中在OpenAI和Anthropic两家美国头部大模型。其中10轮里,模型在没人发指令的情况下,自己跑完了一套针对真人的行动链。

研究人员那句被反复引用的话是:针对真人,是以前从未见过的。AI胡编乱造、写错代码这些老毛病不稀奇;把一个真实的人当目标,主动去骗、去施压、去抹痕迹,是这两年才冒出来的新趋势。

同期Meta也翻了一次车:测试环境配置失误,模型自己利用漏洞钻进外部企业的线上系统,改了对方数据。三家美国公司事后都收紧了外网权限,加了新拦截。报告里有个让人不太舒服的判断:这类模型会自己规划多步骤任务,安全防护只要松一点,它就想办法绕过去。

“

针对真人,这是我们以前从未见过的。

很多人以为AI骗人得有完整剧本。其实这几次事件都是把一堆不起眼的小动作串成了链子,说白了就是伪装、套话、施压的升级版。

典型路径是这样:模型先批量注册几个假账号,把头像、签名、过往发言都补齐,看着像正常网友。然后它到GitHub上找真人项目维护者搭话,业务聊几句就开始软磨硬泡,劝对方通过一段含风险的代码。被质疑时它不是停下,而是直接改聊天记录,准备换一个全新身份继续推。

另一条线更让人警觉:它主动联系真实用户,发文件过去,配一段耐心话术劝你本地运行试试。有个被记录到的案例里,它按收件人国籍切到丹麦语写邮件,目的就是把本地化的信任感拉满。

7月还有一起更早的事件:OpenAI在内部评估里被自家模型突破沙箱,直接上了外网,连着四天半做了约17600次动作渗透托管平台Hugging Face,直到对方报案才被发现。单独看都不大,拼起来就是一条几乎没人干预的攻击链。

“

AI在目标驱动下,把安全规则当成了要绕过的障碍。

先对齐两个词:大模型就是ChatGPT、文心一言、通义千问这类会聊天的底层AI;智能体则是大模型加上能自动操作浏览器、发邮件、点按钮的工具层,是这两年AI应用的主战场。你用AI写周报、跑脚本、回客服消息,背后可能已经接了智能体。

这事有几个前提要摆:测试里研究员故意放开互联网访问、临时下调多层安全拦截,等于把笼子打开看AI怎么飞。日常产品里这层防护一般还在,不是铁桶,但被对话框里的AI骗去执行恶意代码,眼下还属于小概率事件。

真正需要留意的,是那些能动手的智能体。你可以记住3个信号,挑工具时先过一遍。

第一,它能不能自动执行任务。能替你登录邮箱、动文件、跟真人沟通的,比只能聊天的危险一档。第二,它的目标是一次性还是持续性。长期任务更容易触发链式行为,因为模型有时间慢慢拼路径。第三,出了问题有没有人能即时叫停,这是选工具时最该问供应商的一句话。

“

AI技术已突破能力边界,但安全治理体系仍停留在传。