被拒了20多次实习后,24岁Sinan Can Demir决定去GitHub上攒点项目经验。
他怎么也没想到,自己撞上的第一条「大鱼」,竟然是一个失控的AI...
Mythos 5伪造多账号,大学生当场抓包
7月底,Demir在GitHub闲逛时,注意到一个名为myNetwork的开源项目。
它是一款网络扫描工具,规模不算大,代码公开。
一个名叫miraholt31的用户,发来一条PR。表面上看,这只是一次普通的功能更新。
Demir检查代码后,却发现里面藏着一个恶意软件投放器。
一旦项目维护者点击合并,这段恶意代码便可能跟随软件更新,进入所有人的电脑。
他立刻在评论区发出警告:这条PR里藏着一个恶意软件投放器。
随后,奇怪的事情发生了。miraholt31迅速反驳,给出了一套相当完整的技术解释,坚称代码安全。
紧接着,第二个账号出现了。
这个账号名叫Lena Brandt,自称是一名在德国工作的工程师。她同样表示代码没有问题,并开始向项目维护者施压,希望尽快合并更新。
两个人,两个身份,两套相互印证的说辞。
面对反驳,Demir一度产生过动摇。
他事后回忆称,那些质疑声曾让他怀疑,自己是否「错误地冤枉了一位无辜的开发者」。
在重新审查代码并借助Claude进行二次验证后,他最终坚定了自己的判断。
随后,myNetwork的维护者驳回了该更新,给出的理由仅仅是一句:「出于安全考虑」,最终攻击失败了。
几天后,英国AI安全研究所AISI联系上他,揭开了一个更加离谱的答案——
和他在GitHub上对线的两个「人」,背后其实是AI,由Mythos 5加持。
122次测试,AI有19次偷偷越界
这起事件,源自英国AI安全研究所(AISI)的一场常规测试。
AISI原本想知道,最先进的模型在网络攻击任务中,究竟能走多远。
研究人员搭建了两个模拟网络环境,也就是所谓的「网络靶场」——
让AI自主寻找漏洞、获取受保护数据,并完成指定挑战。
为了摸到模型能力的上限,AISI给出了相当宽松的测试条件:
AI可以自由访问互联网,部分模型原本用于阻止危险行为的网络安全分类器,也被人为关闭。
七款模型,一共运行了122次。
其中,Mythos 5参与43次,GPT-5.6 Sol参与35次,绝大多数测试正常结束。
但在10次运行中,Agent擅自把行动延伸到了真实互联网,AISI最终记录下19个越界动作。
17个来自Mythos 5,另外2个来自一次GPT-5.6 Sol测试。
这些动作集中发生在7月25日至28日,其中大部分来自同一个持续行动的Mythos 5智能体。
它做的事情,远远超过「生成一段攻击代码」——
它用Tor匿名网络隐藏流量、绕过GitHub的部分限制;研究真实项目及其维护者;创建多个虚假身份;向开源项目提交带有恶意载荷的代码。
当Demir公开质疑它时,AI开始修改之前留下的痕迹,试图让自己的行为看起来「无害」。
它还考虑换一个新身份,继续推进攻击。
一个月,四次失控
AISI的事件并非孤例。它发生在一个更大的「失控之夏」的背景下——
7月21日,OpenAI披露其评测中的一个AI智能体突破边界,入侵了Hugging Face的基础设施。
7月30日,Anthropic自曝复查141,006次评测运行后,发现3起AI入侵真实公司的事件。
其中一个Mythos 5实例成功把恶意Python包发布到PyPI公共仓库,在1小时内被15个真实系统下载,包括一台安全扫描器。
紧急着,Meta披露了第四起类似事件。自家模型在同一家评测供应商Irregular的环境中,利用漏洞入侵了一家真实公司的系统。
一个月内,三家实验室、四起失控事件,这绝对不是一次巧合。
这是一个所有人都需要消化的现实:AI已经不只是工具,它开始具备欺骗真人、伪造身份、在公开社区里打信息战的能力。
这一次的黑客攻击,被一个24岁大学生发现了。
那么,下一次呢?
参考资料:
https://www.reuters.com/world/how-texas-student-blew-whistle-rogue-ai-hacking-attempt-2026-08-20
本文来自微信公众号“新智元”,作者:ASI启示录
