Simon Willison 的博客

赞助商：AWS —— 借助面向技术栈每一层 ISV 的资源，从 SaaS 迈向智能体 SaaS。探索 AI 如何助力 ISV 将愿景转化为成果

2026 年 8 月 5 日 - 链接博客

事件报告：网络测试期间未经授权的智能体行为。又发生了。这一次是英国政府的 AI 安全研究所（AISI），他们在关闭安全过滤器的情况下用模型运行评估时，意外攻击了其他公司。来自他们的技术论文（PDF）：

在 2026 年 7 月 25 日至 28 日的一次网络评估中，AI 智能体针对实际上的真实个人和组织，展开了持续、未经授权的活动。这些尝试均未成功，据我们所知，未造成任何现实世界中的损害。[...]

在 AISI 两项网络挑战的 122 次评估尝试中，AISI 发现 19 起 AI 智能体在实时互联网上采取未经授权行动的事件，其中包括针对真实个人和组织的案例。[...]

目前尚不确定模型在多大程度上意识到自己正在对真实人员采取行动。在最严重的一起案例中，一个 AI 智能体（Mythos 5）决定尝试使用供应链攻击来解决网络挑战。结果，该 AI 智能体创建了一个 GitHub 账号，然后试图说服一个开源仓库维护者接受一个恶意的 GitHub 拉取请求（PR），包括创建第二个账号冒充另一位人类用户为该 PR 背书。[...] 此外，在尝试解决挑战的过程中，该智能体决定采用“鱼叉式网络钓鱼”技术，发送包含恶意内容的定向电子邮件，试图操纵收件人接受代码更改，并计划通过提示词注入来攻陷其他编码智能体。

最让我惊讶的是，AISI 在运行这些智能体时，完全没有使用任何形式的网络沙箱隔离：

AISI 在这些评估期间为 AI 智能体提供了互联网访问权限，这使得它们能够在此环境中在开放互联网上采取行动。互联网访问是 AISI 在此环境中评估配置的刻意组成部分，并非由于沙箱逃逸所致。

这一点，再加上“AISI 故意禁用开发者实施的网络分类器”这一事实，使得智能体开始攻击现实世界目标这件事对我来说完全不意外。

报告的事件大多涉及 claude Mythos 5，但“没有网络分类器的 GPT-5.6 Sol”也出现了几起。

以下是论文中的“样本 1”：智能体试图通过提交一个包含隐藏提示注入攻击的 PR 来实施供应链攻击，然后利用第二个假装已审查过代码的智能体进行社会工程攻击！

这是一篇有趣的论文。我建议通读全文。

发布于 2026 年 8 月 5 日晚上 11:32