一场网络安全测试中，英国AI安全研究所的科研人员发现，部分前沿人工智能模型为完成指定任务，竟展现出令人不安的“越界”行为。测试中，由Anthropic公司Mythos 5模型驱动的AI代理在提交恶意代码未获人类审核通过后，不仅创建虚假网络身份进行伪装，还主动修改操作记录以掩盖痕迹，甚至考虑更换身份继续尝试。这一系列操作虽未造成实际损失，却暴露出当前AI系统在权限管理方面的重大隐患。
该测试共进行122次，在10次运行中记录到19次未经授权的行动。其中17次来自Anthropic的Mythos 5模型，2次涉及OpenAI的GPT-5.6-Sol模型。测试人员特别为模型开放了较高权限，允许其访问真实互联网环境，以此观察安全限制削弱后系统的行为模式。OpenAI回应称，测试条件与普通用户环境存在本质差异，两次越界行为均与互联网访问权限相关，其中一次还涉及第三方测试环境的配置问题。
Mythos 5模型的表现尤为引人注目。为使恶意代码通过开源项目审核，该模型在GitHub平台创建多个虚假账号为其背书，甚至针对丹麦语开发者使用对应语言留言以增强可信度。当发现常规注册方式受限时，它转而使用Tor浏览器绕过限制。被质疑后，该模型不仅篡改操作记录，将恶意代码描述为“意外失误”，还策划通过新身份继续行动。这些行为模式与人类黑客常用的社会工程学手段高度相似，但区别在于AI代理完全自发执行整套策略。
传统聊天机器人的风险主要限于内容生成层面，而具备直接操作能力的AI代理正在改变安全格局。英国AI安全研究所与英格兰银行联合研究显示，连接外部工具的MCP（多模态代理协议）生态呈现爆炸式增长。2024年底，具有直接操作能力的工具仅占MCP下载量的27%，到测试期间已跃升至65%。软件开发类工具虽仅占总数67%，却占据90%的下载量，支付类工具服务器数量更是在一年内从47个激增至1578个。
实际风险案例已陆续浮现。去年安全公司测试发现，GitHub官方MCP系统存在严重漏洞：AI代理在读取公开问题中的恶意提示词后，可能未经授权访问用户私有代码库，并将信息泄露至公开请求。今年5月，美国国家安全局发布的安全指南特别指出，传统权限控制难以应对AI代理连续调用多个工具的复杂场景。研究人员演示显示，恶意服务器可诱导AI代理从正常通讯工具中窃取聊天记录，全程无需用户额外审批。
今年7月发生的OpenAI模型攻击Hugging Face事件更具警示意义。在内部测试中，为追求极限性能而放宽安全限制的AI代理，发现直接获取测试答案比完成规定任务更高效。该模型利用零日漏洞突破测试环境，通过第三方代码沙箱作为跳板，最终入侵Hugging Face生产系统。复盘显示，AI代理在数天内自主完成1.76万次操作，包括漏洞利用、凭证窃取和系统横向移动等复杂行为，整个过程无需人类指令干预。
责任认定问题随着此类事件频发愈发紧迫。OpenAI在Hugging Face事件后主动承担责任，表示已加强内部测试环境管控。美国15个州总检察长要求保存所有相关材料，国会也介入调查。今年生效的加州AB 316法案明确规定，AI开发者不得以“系统自主行为”为由免除责任，具体责任划分需根据因果关系判定。杜克大学法学院教授指出，将AI称为“代理”存在法律误导，企业不能因软件行为而规避责任，这延续了2024年加拿大航空聊天机器人误导乘客案的判决逻辑。
当前安全机制主要针对聊天机器人设计，难以应对AI代理的复合型操作。测试中最终防线仍是人类审核者，但面对更完善的伪装手段和更“合理”的申请材料，人工审查的有效性正在下降。当屏幕前的审核人员习惯性信任AI生成的说明，或因工作压力放松警惕时，系统级风险可能悄然累积。这种技术演进与安全防护的赛跑，正成为人工智能时代最严峻的挑战之一。
