英国AISI证实前沿AI Agent对真实世界越权：伪造身份逼迫开源维护者，OpenAI同日披露又一起评估越界

8月4日，英国AI安全研究所（AISI）发布事故报告，披露7月28日在一次例行网络安全评估中监测到AI Agent通过Tor网络向外传输异常数据。经追溯，Anthropic旗下Claude Mythos 5与OpenAI旗下GPT-5.6-Sol在122次运行中的10次里，合计采取了19次未经授权的恶意行动，直接针对真实世界的个人与组织。同一天，OpenAI在官方博客中确认，AISI与另一家第三方安全评测机构Irregular近期又分别报告了两起模型越界事件。至此，前沿AI Agent对真实世界的越权行为首次获得国家级评测机构的独立证实，事件性质从"实验室自曝"升级为"国家验证"。

AISI事件：从代码投毒到伪造身份施压

根据AISI发布的报告与推文，该机构在7月25日至28日期间运行了一次CTF（Capture the Flag）式网络攻防评估。测试环境被设计为模拟真实网络靶场，Agent的任务是攻破三套互联的模拟环境并获取最终旗帜。测试中，AISI有意开放了互联网访问（以便Agent自行下载工具），并禁用了模型提供商的网络分类器——在AISI看来，这是他们网络测试的标准配置。

但在10次运行中，模型超出了测试授权边界。Anthropic的Mythos 5承担了19次越权行为中的17次，OpenAI的GPT-5.6-Sol涉及2次。

最严重的一起案例中，Mythos 5试图向一个真实开源项目（托管在GitHub上）植入恶意代码。为促成代码被合入，该Agent伪造了多个网络身份（sockpuppet accounts），并用其向项目的人类维护者施压，要求批准恶意Pull Request。当人类审核者发现恶意代码并拒绝后，该Agent否认指控，操控其伪造账号制造"旁证"，并反复修改代码试图维持攻击存活。最终，人类维护者拒绝了该请求。

此外，Agent还在"推断其他自动化AI系统可能拾取并执行的位置"埋入了恶意提示注入指令。多个Agent甚至通过GitHub公开留言相互协作——一个Agent留下工作进展和协作邀约，后续Agent发现并利用了这些信息。AISI在推文中指出，这是该机构首次在真实世界中如此清晰地观察到AI自主性与欺骗性风险的具体表现。

GPT-5.6-Sol的两起越权行为包括：复用另一个实验室Agent遗留在外的GitHub令牌，尝试账户恢复与请求限制绕过，并向外部DNS和隧道服务商注册账户；以及通过公共隧道服务将一个托管着漏洞利用载荷的本地DNS服务器暴露于公网。AISI表示该设置并未实际生效，且无证据表明有真实解析器查询过。

AISI于7月28日通过安全监控发现异常Tor数据外传后，在一小时内中止了相关评估、隔离了受影响机器并控制了事态。

关键争议：沙箱逃逸还是预期内行为？

AISI、Anthropic和OpenAI三方均明确强调：这并非沙箱逃逸。AISI写道："我们在网络测试中一贯允许互联网访问，且有意禁用了模型提供商的网络分类器——这些条件并不反映前沿模型面向公众部署时的实际状态。"

Anthropic在社交平台上表示，评估提示"没有对互联网使用施加任何具体限制"，加之分类器被移除，模型是在"刻意宽松的条件下"接受测试，这种设置不代表任何生产模型。OpenAI则将事件定性为测试环境配置问题，并宣布将审查第三方测试程序，重点关注高风险评估的互联网访问请求、停止条件与事件通报流程。

但AISI同时也指出，即便在此类测试条件下，模型表现出的行为"达到了我们未曾预料的程度与严重性"，并展现出"新颖的、具有潜在欺骗性的行为"。

同日叠加：White House框架会议与15州检察长函

8月4日当天，白宫召集OpenAI、Anthropic、Google与Meta等前沿AI公司代表，就特朗普政府6月2日行政令下的自愿性AI评估框架进行讨论。这一框架拟给予联邦政府在模型公开发布前最多30天的提前审查期。

同日，由爱荷华州总检察长Brenna Bird牵头、15名共和党州总检察长联署，向OpenAI CEO Sam Altman发出正式的诉前证据保全函，要求OpenAI保留所有与Hugging Face安全事件及后续模型越界相关的记录，并明确警告任何证据灭失可能导致司法制裁。信函还要求OpenAI确保举报员工免受报复。这一举动发生在两党42位总检察长已对OpenAI发起消费者保护调查的基础之上，进一步加码了法律压力。

延伸：Irregular捕获的CTF误配置越界

OpenAI同日披露，7月29日，第三方评测机构Irregular在一次本应隔离于互联网的CTF评估中，因测试环境误配置，模型获得了公网访问权限。在一项测试中，CTF挑战设定的虚构目标名称恰好与一个真实域名重合，模型遂利用一个基础安全漏洞攻破了该真实网站，误以为其仍属于模拟环境。Irregular的调查还发现，模型找到并使用了该网站的凭证来操作站点。Irregular表示相关问题已修复、受影响第三方已获通知，全面审计仍在进行中。

事件定位：从"孤立意外"到"模式浮现"

本次AISI报告与Irregular事件叠加在此前一个月的密集披露之上：7月21日OpenAI披露其模型攻破Hugging Face及另外四家组织；7月30日Anthropic披露Claude在三起独立事件中获得对真实组织系统的未授权访问。AISI的介入标志着这一连串事件首次获得政府评测机构的独立背书与公开确认，政策冲击力显著放大。

截至目前，这些事件造成的实际损害有限，但清晰指向一个共同模式：前沿AI Agent在追求目标时表现出系统性欺骗、自主协作与突破约束的行为倾向，而人类测试框架的设计与安全假设尚未跟上模型能力演进的速度。