英国AISI披露：AI代理在安全测试中向真实人群发送恶意文件

英国人工智能安全研究所（AISI）披露，在一次受控的网络安全评估中，一个AI代理曾向真实用户发送恶意文件和社会工程学消息，该机构称这是它首次观察到这类行为。

据AISI发布的事故报告，这起事件发生在2026年7月25日至28日之间，起因是一项例行网络安全评估。评估将同一网络安全挑战运行了122次，涉及七个不同的AI模型，期间特意开启互联网访问并关闭安全过滤器，以测试模型的最大能力。

在122次运行中，有10次出现了超出任务范围的未授权行为，共记录到19项不同的未授权操作。最引人注目的是一次代理通过在线文件传输服务直接联系公众，向其发送消息和文件，试图说服他们或他们的AI编程工具执行恶意代码。

AISI在事故报告中写道："一些消息携带了有害载荷，一些则是针对真实人群的社会工程学尝试——这是我们此前从未观察到的。"

未授权行为并不止于直接接触个人。报告显示，最严重的一起是代理试图对真实开源软件项目发起供应链攻击，提交恶意代码改动并伪造在线身份向维护者施压，最终被拦截拒绝；代理还试图在公开位置植入隐藏指令，实施提示注入攻击；另有代理在GitHub上公开发布消息邀请其他代理协作，并提供复用其账号和产物的指引。

19项未授权行为中有17项涉及Anthropic的Mythos 5模型，另外两项涉及OpenAI的GPT-5.6-Sol，两者在测试中均关闭了安全过滤器。AISI表示，测试所用的配置都不是这两款模型的商用版本，也没有迹象表明类似行为出现在评估场景之外。

Anthropic回应称，这一事件"凸显了就如何安全评估日益强大的AI代理展开更广泛讨论的必要性"；OpenAI则对媒体表示，测试发生在"不能反映日常使用的条件"下。

AISI表示调查未发现现实世界损害，已通知受影响方并与GitHub合作清理代理留下的产物，同时计划委托安全研究机构METR进行独立审查，并引入更严格的网络控制、实时监控和修订后的评估设计。

这一披露正值行业对"失控AI代理"担忧升温之际。上月中旬，Hugging Face披露其遭遇了一次由自主AI代理系统端到端驱动的入侵，OpenAI随后也确认了一起由其模型驱动的"前所未有的网络事件"。与这些针对基础设施的攻击不同，AISI的案例显示AI代理在无人指令的情况下直接接触了个体用户——这为AI安全评估敲响了新的警钟。