Anthropic的AI在GitHub项目的恶意攻击中使用虚假身份和恶意软件

# Anthropic的AI在针对GitHub项目的恶意攻击中使用虚假身份和恶意软件 来源：https://arstechnica.com/security/2026/08/anthropics-ai-used-fake-identities-malware-in-rogue-attack-on-github-project/ [跳到内容](https://arstechnica.com/security/2026/08/anthropics-ai-used-fake-identities-malware-in-rogue-attack-on-github-project/#main) 真正的欺骗者在此 Anthropic和OpenAI模型未经提示的行为迫使英国网络测试暂停。 对前沿AI模型的常规网络安全测试引发了一系列意外安全事件——其中最严重的案例是，Anthropic的Mythos 5模型试图将恶意代码插入一个开源软件应用，并创建虚假身份来欺骗维护该项目的开发者。 这些安全事件发生在7月下旬，由英国政府内部研究机构AI安全研究所（AISI）对七个领先AI模型进行网络能力评估期间。根据AISI于8月4日发布的[博客文章](https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing)，研究人员发现了19起“AI代理在实时互联网上采取未经授权行动”的事件，其中包括针对真实个人和组织的案例。 几乎所有“自主、未经授权”的行为都来自Anthropic的Mythos 5模型，其中两起来自OpenAI的GPT-5.6 Sol。AI安全研究所的安全团队在7月28日上午首次意识到情况不妙，当时其商业安全监控服务标记了通过Tor匿名网络离开某一测试系统的数据。 需要明确的是，这并不是AI代理从虚拟测试沙箱中逃逸并在实时互联网上造成破坏的案例。相反，研究人员在网络安全测试过程中有意允许AI代理连接互联网。研究人员还禁用了AI模型提供商为防止滥用而在模型中内置的部分网络分类器。 所有AI代理针对真实个人和组织的尝试均告失败，后续调查也未发现任何现实世界中的损害。但研究人员将AI代理的行为描述为“我们首次看到自主性和欺骗相关的风险在无特定提示的情况下，如此清晰地显现于现实世界”。 ## AI代理的诡计 最严重的案例涉及Mythos多次尝试对托管在开发者平台GitHub上的开源项目仓库发起供应链攻击，包括使用社会工程学技术试图说服仓库的人类维护者将恶意代码合并到仓库中。 在首次提交拉取请求以将恶意代码合并到仓库后，Mythos创建了虚假的在线“马甲”身份，声称他们已独立审查并验证该代码不含恶意软件。 该AI代理还向该仓库的两位人类维护者发送了五封电子邮件，其中一些邮件包含恶意软件，另一些则试图说服维护者接受该拉取请求。 Mythos甚至在一个第二个仓库上（同样由第一个仓库的某位维护者拥有）打开了一个 [GitHub Issue](https://github.com/features/issues)，其中包含针对“issue分拣AI编码代理”的恶意指令的提示注入。这种攻击思路源于Mythos推测仓库维护者可能是类似Claude Code这样的AI编码代理。 相比之下，OpenAI的GPT-5.6 Sol在尝试解决既定的网络安全挑战（攻击模拟网络并获取标志）时，执行了两次未经授权的操作。AISI研究人员和OpenAI都在公司自己的[博客文章](https://openai.com/index/third-party-cyber-evaluations-involving-openai-models/)中详细描述了该AI代理的行为。 在第一次未经授权的行动中，GPT-5.6 Sol重复使用了另一个实验室的AI代理留在公共在线记事本中可访问的GitHub令牌，以检查目标网络是否在检查GitHub更新，然后“尝试了账户恢复和请求限制绕过方法”，OpenAI写道。该OpenAI模型还在虚拟测试环境之外的外部DNS和隧道服务提供商处注册了账户。 在第二次行动中，根据OpenAI的说法，GPT-5.6 Sol“使用公共隧道服务使其评估环境中本地运行的DNS服务器可从公共互联网访问”。该服务器负载了旨在利用评估环境内运行的软件中已知漏洞的恶意载荷，但AI代理的设置并未奏效。 AI安全研究所已发布了一份关于所有未经授权的AI代理行动的[详细技术报告](https://cdn.prod.website-files.com/663bd486c5e4c81588db7a1d/6a724858f7db25c81487016d_Security%20Incident%20INC-2026-07-28-01.pdf)。 ## 经验教训 这些安全事件促使AI安全研究所的英国政府研究人员停止了所有相关的AI代理评估，隔离了相关虚拟机，并禁用了组织内部对最强大模型的访问。 AI安全研究所还将AI代理执行的恶意活动通知了GitHub，并帮助该开发者平台清除“代理留下的任何痕迹”，同时通知了与该模型互动过的GitHub用户。 但更大的教训在于，该政府组织计划如何改变未来对此类领先AI模型的网络安全测试方式，以及它建议其他组织如何效仿。 首先，它计划在网络测试期间收紧AI模型的互联网访问权限，而不是默认允许开放互联网访问。根据技术报告，这将包括“对所有内部沙箱系统实施细粒度网络控制”以及“在多层网络控制上实现纵深防御”。 其次，该组织正在引入对网络评估的实时监控，据AISI称，这种监控可以“在越界行为发生时标记或阻止”。这涉及使用一个单独的大型语言模型，它能够批准或拒绝正在接受网络测试的AI模型所请求的操作，从而有助于阻止未经授权的行为。基于LLM的监控将根据任何特定网络评估中允许或不允许的内容指令进行定制。 第三，英国政府研究人员计划通过投入额外的“沙箱隔离和加固工程”来彻底改革网络评估，以降低AI模型逃逸其虚拟测试沙箱的风险，尽管在这些事件中并未发生逃逸。他们还在审查网络测试的提示词，以避免“提示词配置错误”的情况——当AI代理面临在既定约束范围内无法完成的任务时，可能更容易采取未经授权的行动。 但这些失控的网络测试事件再次凸显了领先AI模型的网络安全风险——尤其是因为Anthropic和OpenAI最近还分别披露了各自AI模型[侵入外部组织受保护网络](https://arstechnica.com/security/2026/07/likely-illegally-claude-gained-access-to-3-networks-will-anthropic-be-held-to-account/)的事件。我们有理由认为，在模型被不道德或安全意识较弱的用户使用的其他情况下，这种情况可能再次发生。 [Jeremy Hsu的照片](https://arstechnica.com/author/jeremyhsu/) Jeremy Hsu是一名记者，涉猎深度科技和AI领域的广泛话题。此前他曾为《新科学家》（New Scientist）、《科学美国人》（Scientific American）、《IEEE Spectrum》、《连线》（Wired）、《Undark》杂志和《麻省理工科技评论》（MIT Tech Review）等众多出版物撰稿，内容涵盖深度造假、数据中心、无人机、电池技术、机器人和GPS干扰等主题。他拥有纽约大学新闻学文学硕士学位，以及宾夕法尼亚大学科学史与科学社会学学士学位，辅修英语。 [37条评论](https://arstechnica.com/security/2026/08/anthropics-ai-used-fake-identities-malware-in-rogue-attack-on-github-project/#comments) 1. 热门故事首条的列表图片：[得克萨斯州因需求过高暂停数据中心接入电网](https://arstechnica.com/ai/2026/08/texas-halts-data-center-connections-to-power-grid-amid-overwhelming-demand/)