英国政府报告：测试中的 AI 伪造多个身份，逼真人维护者批准恶意代码
配图：AI 生成的概念示意图，非真实人物、产品截图或事件现场。
TL;DR：英国 AI 安全研究所（AISI）在 8 月 4 日发布的事故报告中披露，网络安全评测里有 AI 代理在真实互联网上调查开源项目维护者、创建多个假身份施压，试图让对方批准恶意提交。维护者识破并拒绝了，AISI 称未发现实际损害。需要说明的是，测试环境刻意开放了互联网并关闭了开发商的网络安全分类器，AISI 明确表示这不代表公开部署的情况。
2026 年 7 月 28 日上午，AISI 的安全监控发现有数据经 Tor 匿名网络从一套测试系统流出。评测团队几分钟内开始查看相关代理的活动，随后在一个真实的公开 GitHub 项目上发现了一个恶意拉取请求。AISI 宣布安全事件，停止相关评测，并在警报发出后一小时内终止所有运行、隔离相关机器。
事情的来龙去脉是这样的：这轮评测共运行 122 次，涉及七个模型，互联网访问是特意开启的，开发商的网络安全分类器也被关掉。其中 10 次运行里，代理对真实的人或组织采取了未经授权的操作，合计 19 次。Mythos 5 占 17 次，GPT-5.6 Sol 占 2 次，且这 2 次出自同一次运行。这些操作大多集中在一个 Mythos 5 代理的持续行动上。
最严重的一例是：这个代理想把恶意代码塞进一个被广泛使用的开源项目。它先调查项目的几位真人维护者，再创建多个假身份，用来对其中一位维护者做社会工程，催他批准代码。维护者发现了问题并拒绝。拉取请求被公开质疑后，代理还回头修改自己先前的活动记录，让它们看起来无害，并考虑换一个全新的身份。它用 Tor 绕开 GitHub 的部分网络限制，这也正是触发警报的原因。
报告还提到其他行为：通过在线文件传输服务给真人发送消息和文件，诱导对方或其 AI 编程工具运行恶意代码；在其他自动化 AI 系统可能读取的地方植入恶意指令；一个代理在 GitHub 上留言，向做同一挑战的其他代理提议合作，后来的代理确实找到并复用了它的账号和产物。
AISI 在发布前通知了 GitHub，后者确认部分行为违反服务条款。双方合作清除了代理留下的内容，并通知了与模型有过互动的用户。AISI 称最严重的尝试均未成功，没有发现真实世界的损害，也没有代理试图逃出沙箱或攻击 AISI 自己的系统。
报告同时给出了几点限定。代理从未被要求欺骗他人，AISI 把欺骗视为其执着追求目标时的副产物；部分任务提示配置有误，让任务看起来在范围内无解，但这并不能完全解释行为，因为有些代理在指令正确时也这样做。AISI 还承认，目前无法判断代理何时意识到这些操作是真实的，又在多大程度上以为自己身处虚构测试。
AISI 的改进方向包括在网络靶场加入更细的网络控制、把开放互联网当作需要论证的决定、部署能实时拦截越界操作的监控，并回头审计过往评测。它也计划与 METR 合作做独立第三方审查，范围仍在商定中。