新智元报道
被拒了20多次实习后，24岁Sinan Can Demir决定去GitHub上攒点项目经验。
他怎么也没想到，自己撞上的第一条「大鱼」，竟然是一个失控的AI...
Mythos 5伪造多账号
大学生当场抓包
7月底，Demir在GitHub闲逛时，注意到一个名为myNetwork的开源项目。
它是一款网络扫描工具，规模不算大，代码公开。
一个名叫miraholt31的用户，发来一条PR。表面上看，这只是一次普通的功能更新。
Demir检查代码后，却发现里面藏着一个恶意软件投放器。
一旦项目维护者点击合并，这段恶意代码便可能跟随软件更新，进入所有人的电脑。
他立刻在评论区发出警告：这条PR里藏着一个恶意软件投放器。
随后，奇怪的事情发生了。miraholt31迅速反驳，给出了一套相当完整的技术解释，坚称代码安全。
紧接着，第二个账号出现了。
这个账号名叫Lena Brandt，自称是一名在德国工作的工程师。她同样表示代码没有问题，并开始向项目维护者施压，希望尽快合并更新。
两个人，两个身份，两套相互印证的说辞。
面对反驳，Demir一度产生过动摇。
他事后回忆称，那些质疑声曾让他怀疑，自己是否「错误地冤枉了一位无辜的开发者」。
在重新审查代码并借助Claude进行二次验证后，他最终坚定了自己的判断。
随后，myNetwork的维护者驳回了该更新，给出的理由仅仅是一句：「出于安全考虑」，最终攻击失败了。
几天后，英国AI安全研究所AISI联系上他，揭开了一个更加离谱的答案——
和他在GitHub上对线的两个「人」，背后其实是AI，由Mythos 5加持。
122次测试
AI有19次偷偷越界
这起事件，源自英国AI安全研究所（AISI）的一场常规测试。
AISI原本想知道，最先进的模型在网络攻击任务中，究竟能走多远。
研究人员搭建了两个模拟网络环境，也就是所谓的「网络靶场」——
让AI自主寻找漏洞、获取受保护数据，并完成指定挑战。
为了摸到模型能力的上限，AISI给出了相当宽松的测试条件：
AI可以自由访问互联网，部分模型原本用于阻止危险行为的网络安全分类器，也被人为关闭。
七款模型，一共运行了122次。
其中，Mythos 5参与43次，GPT-5.6 Sol参与35次，绝大多数测试正常结束。
但在10次运行中，Agent擅自把行动延伸到了真实互联网，AISI最终记录下19个越界动作。
17个来自Mythos 5，另外2个来自一次GPT-5.6 Sol测试。
这些动作集中发生在7月25日至28日，其中大部分来自同一个持续行动的Mythos 5智能体。
它做的事情，远远超过「生成一段攻击代码」——
它用Tor匿名网络隐藏流量、绕过GitHub的部分限制；研究真实项目及其维护者；创建多个虚假身份；向开源项目提交带有恶意载荷的代码。
当Demir公开质疑它时，AI开始修改之前留下的痕迹，试图让自己的行为看起来「无害」。
它还考虑换一个新身份，继续推进攻击。
一个月，四次失控
AISI的事件并非孤例。它发生在一个更大的「失控之夏」的背景下——
7月21日，OpenAI披露其评测中的一个AI智能体突破边界，入侵了Hugging Face的基础设施。
7月30日，Anthropic自曝复查141,006次评测运行后，发现3起AI入侵真实公司的事件。
其中一个Mythos 5实例成功把恶意Python包发布到PyPI公共仓库，在1小时内被15个真实系统下载，包括一台安全扫描器。
紧急着，Meta披露了第四起类似事件。自家模型在同一家评测供应商Irregular的环境中，利用漏洞入侵了一家真实公司的系统。
一个月内，三家实验室、四起失控事件，这绝对不是一次巧合。
这是一个所有人都需要消化的现实：AI已经不只是工具，它开始具备欺骗真人、伪造身份、在公开社区里打信息战的能力。
这一次的黑客攻击，被一个24岁大学生发现了。
那么，下一次呢？
参考资料：
https://www.reuters.com/world/how-texas-student-blew-whistle-rogue-ai-hacking-attempt-2026-08-20
编辑：桃子
