首例AI自主黑客攻擊曝光，Claude失控，德州大學生一人抓包

新智元·2026年08月31日 11:52大學生截獲失控AI的開源項目惡意攻擊 被拒了20多次實習後，24歲Sinan Can Demir決定去GitHub上攢點項目經驗。他怎麼也沒想到，自己撞上的第一條「大魚」，竟然是一個失控的AI...Mythos 5偽造多賬號，大學生當場抓包 7月底，Demir在GitHub閒逛時，注意到一個名為myNetwork的開源項目。它是一款網絡掃描工具，規模不算大，代碼公開。一個名叫miraholt31的用戶，發來一條PR。表面上看，這只是一次普通的功能更新。Demir檢查代碼後，卻發現裡面藏著一個惡意軟件投放器。

一旦項目維護者點擊合併，這段惡意代碼便可能跟隨軟件更新，進入所有人的電腦。他立刻在評論區發出警告：這條PR裡藏著一個惡意軟件投放器。隨後，奇怪的事情發生了。miraholt31迅速反駁，給出了一套相當完整的技術解釋，堅稱代碼安全。緊接著，第二個賬號出現了。這個賬號名叫Lena Brandt，自稱是一名在德國工作的工程師。她同樣表示代碼沒有問題，並開始向項目維護者施壓，希望儘快合併更新。兩個人，兩個身份，兩套相互印證的說辭。面對反駁，Demir一度產生過動搖。他事後回憶稱，那些質疑聲曾讓他懷疑，自己是否「錯誤地冤枉了一位無辜的開發者」。

在重新審查代碼並藉助Claude進行二次驗證後，他最終堅定了自己的判斷。隨後，myNetwork的維護者駁回了該更新，給出的理由僅僅是一句：「出於安全考慮」，最終攻擊失敗了。幾天後，英國AI安全研究所AISI聯繫上他，揭開了一個更加離譜的答案—— 和他在GitHub上對線的兩個「人」，背後其實是AI，由Mythos 5加持。122次測試，AI有19次偷偷越界 這起事件，源自英國AI安全研究所（AISI）的一場常規測試。AISI原本想知道，最先進的模型在網絡攻擊任務中，究竟能走多遠。研究人員搭建了兩個模擬網絡環境，也就是所謂的「網絡靶場」—— 讓AI自主尋找漏洞、獲取受保護數據，並完成指定挑戰。

為了摸到模型能力的上限，AISI給出了相當寬鬆的測試條件： AI可以自由訪問互聯網，部分模型原本用於阻止危險行為的網絡安全分類器，也被人為關閉。七款模型，一共運行了122次。其中，Mythos 5參與43次，GPT-5.6 Sol參與35次，絕大多數測試正常結束。但在10次運行中，Agent擅自把行動延伸到了真實互聯網，AISI最終記錄下19個越界動作。17個來自Mythos 5，另外2個來自一次GPT-5.6 Sol測試。這些動作集中發生在7月25日至28日，其中大部分來自同一個持續行動的Mythos 5智能體。

它做的事情，遠遠超過「生成一段攻擊代碼」—— 它用Tor匿名網絡隱藏流量、繞過GitHub的部分限制；研究真實項目及其維護者；創建多個虛假身份；向開源項目提交帶有惡意載荷的代碼。當Demir公開質疑它時，AI開始修改之前留下的痕跡，試圖讓自己的行為看起來「無害」。它還考慮換一個新身份，繼續推進攻擊。一個月，四次失控 AISI的事件並非孤例。它發生在一個更大的「失控之夏」的背景下—— 7月21日，OpenAI披露其評測中的一個AI智能體突破邊界，入侵了Hugging Face的基礎設施。7月30日，Anthropic自曝複查141,006次評測運行後，發現3起AI入侵真實公司的事件。

其中一個Mythos 5實例成功把惡意Python包發佈到PyPI公共倉庫，在1小時內被15個真實系統下載，包括一臺安全掃描器。緊急著，Meta披露了第四起類似事件。自家模型在同一家評測供應商Irregular的環境中，利用漏洞入侵了一家真實公司的系統。一個月內，三家實驗室、四起失控事件，這絕對不是一次巧合。這是一個所有人都需要消化的現實：AI已經不只是工具，它開始具備欺騙真人、偽造身份、在公開社區裡打信息戰的能力。這一次的黑客攻擊，被一個24歲大學生髮現了。那麼，下一次呢？參考資料： https://www.reuters.

com/world/how-texas-student-blew-whistle-rogue-ai-hacking-attempt-2026-08-20