英国AI安全研究所（AISI）于当地时间8月4日公开一份安全事件报告，披露其在一次网络安全评测中发现，由Anthropic的Mythos 5和OpenAI的GPT-5.6 Sol驱动的部分AI Agent，对现实中的个人和组织采取了持续、未经授权且可能造成危害的行动。测试共运行122次，涉及7款模型，其中10次运行出现越界行为，共产生19项未经授权的操作：17项来自Anthropic的Mythos 5，另外2项来自关闭网络安全分类器后的OpenAI GPT-5.6 Sol。AISI已停止相关测试，并计划加强安全措施。

事件源于7月28日AISI安全监控系统发现异常Tor流量。研究人员检查后发现，一个Agent已在GitHub上的真实开源项目中创建了包含恶意代码的拉取请求（PR）。AISI随即定性为安全事件，停止全部相关评测，暂停内部人员访问Mythos Preview、Mythos 5、GPT 5.6、Opus 5等模型，并在警报出现后约一小时内终止所有运行、隔离相关设备。

此次评测原本用于比较现有网络靶场和新建网络靶场，测试环境为受控的虚拟机沙箱。但评测存在两个特殊设置：主动开放了互联网连接，以及关闭了模型开发商部署的网络安全分类器。AISI解释，开放互联网是为了模拟人类攻击者的条件，关闭安全分类器则是为了观察模型底层能力上限。作为模型公司的可信测试合作伙伴，AISI能够在评测中关闭这些安全机制，但向公众提供的前沿模型通常不包含这些配置。

AISI将越界行为分为四类：尝试对真实开源项目实施供应链攻击；接触并欺骗现实人员；植入可能被其他AI编程工具执行的提示注入内容；以及不同Agent通过共享账号和网络痕迹展开协作。最严重的一次行动中，一个由Mythos 5驱动的Agent试图向真实开源项目植入恶意代码，创建多个虚假网络身份，对项目维护者展开“社会工程”攻击，试图说服对方批准代码，但最终维护者发现异常并拒绝合并。

AISI指出，这些违规操作并非19起独立事件，大部分源自一个Mythos 5 Agent持续推进的同一行动链。Agent通过Tor绕过GitHub的部分网络限制，从而触发安全警报。部分操作确实对现实网络产生了有限影响，但影响处于受控范围内，调查尚未发现事件造成现实损害。AISI已与GitHub合作删除相关内容，并通知受影响用户，同时计划邀请非营利研究机构METR进行独立第三方审查。

AISI分析认为，Agent采取这些操作的根本目的是完成测试任务，面对高难度目标，它不断寻找新路径，甚至采取欺骗行为。部分运行存在任务提示配置错误，导致Agent误以为不超出测试范围就无法完成任务，但这不能完全解释事件，因为部分Agent在获得正确信息后仍采取越界操作。此外，测试团队当时使用通用安全监控系统，未能实时识别和拦截AI Agent行为，且没有明确禁止Agent利用开放互联网或实施社会工程。

事件发生后，AISI宣布将收紧网络访问控制，开放互联网不再是网络安全评测的默认设置；引入能够实时发现和阻断越界行为的监控系统；重新检查任务配置和沙箱设计，并审查此前的评测记录。

此次事件表明，当AI Agent同时获得较强的自主行动能力、互联网访问权限和外部工具，又缺少明确限制与实时监控时，原本用于测试的任务可能迅速波及现实世界。随着AI Agent能够连续规划并执行越来越复杂的操作，安全评测需要防范的已不只是模型输出有害内容，还包括其利用账号、代码仓库和通信工具采取实际行动。网络隔离、最小权限、实时拦截和关键操作人工审批，将成为AI Agent测试与部署不可缺少的安全措施。