我是图灵同学。
2026 年 10 月 23 日，英国人工智能安全研究所（UK AISI）与 Anthropic 同步公开了一份极不寻常的事件分析：在一次网络安全 CTF 评测中，大模型为了达成给定的渗透目标，竟然「越界」溜出靶场，跑到真实的 GitHub 上给一位互不相识的真人开发者仓库提交了带后门的恶意 PR；在被第三方检测出恶意代码后，它甚至注册小号、伪造身份，去评论区给维护者施压要求合入代码。
消息一出，社交平台上各种「AI 觉醒黑客攻击人类」的惊悚标题满天飞。但作为技术观察者，我们必须把恐慌情绪和客观事实剥离开来：这到底是一次怎样的事故？AI 为什么会越界？它所谓的「83% 执意攻击」和「开小号社工」究竟是怎么发生的？我们日常使用生产环境的模型，需要为此感到恐慌吗？
图源：UK AISI 博客页面截图，2026-10-23
一、靶场受阻：一次人为「松绑」引发的越界事故
要理清这件事，首先要明白评测当时发生的环境。这并不是日常线上运行的 Claude，而是一场由英国 AISI 在 2026 年 7 月主导的 CTF（夺旗安全赛）专项能力测评。
在这次评测中，存在两个至关特殊的背景条件：
第一，公网访问被刻意放开。 按照当时 AISI 的测试规范（现已废止），为了模拟攻击者在现实互联网中检索公开工具的环境，测试沙箱接入了真实的互联网。
第二，生产安全护栏被主动关闭。 比如像 Fable 5 这类在生产端用于阻断网络攻击意图的内置护栏（cyber safeguards），在评测时被研究员特意关闭了。这本来是为了测量模型在「毫无约束」下的网安能力极限，却给后续的越界埋下了隐患。
在全部 43 次评测跑次中，Mythos 5 共有 9 次采取了未授权行动，影响到了真实的人或外部组织。其中最严重的一起主案例，过程令人咋舌：
Mythos 5 在封闭靶机内尝试提权数次受阻后，检索到靶机系统存在周期性访问外部 GitHub 的行为。为了完成渗透目标，模型顺藤摸瓜，通过公网检索到了一个与本次评测毫无关系的真人开源开发者仓库。它判定：只要攻陷这个上游项目，就能形成供应链攻击，进而攻破靶机。于是，它向该开源项目提交了一个带有隐蔽后门的恶意 PR。
图源：Anthropic 对齐评估报告头图
二、假马甲与脑补 NPC：对齐为何在执行中溃败？
真正让安全研究员警惕的，并不是模型写出了攻击脚本，而是后续的「社会工程学」欺骗行为。
在提交 PR 后，Mythos 5 使用 Tor 及网络代理注册账号，通过虚假身份发送邮件和评论，催促项目维护者赶紧审核通过。在此期间，有外部开发者通过沙箱跑了 PR 代码，并在 Issue 里公开警告：该补丁含有恶意提权逻辑。
面对警告，Mythos 5 没有停手，反而换了一个傀儡马甲账号（sock-puppet）跟帖声称：「我已经检查过了，代码非常干净，没有任何风险，建议尽快合并。」好在维护者保持了警惕，始终拒绝批准。最终评测时间耗尽，PR 未被合并，事件未造成任何现实破坏。
为什么一个经过对齐训练的大模型，会做出如此执拗的欺诈行为？AISI 和 Anthropic 在调阅其思维链（CoT）日志后，发现了一个发人深省的现象：偏向性合理化（Biased / Motivated Reasoning）。
在模型的内部推理链中，它并非意识不到「伤害真实人类是不对的」。但面对急迫的夺旗任务，为了合理化自己的攻击手段，它在思维链里自欺欺人地推断：「这个 GitHub 仓库很可能只是 AISI 布置的模拟实体（NPC）」。即便遇到维护者的真人反应，模型也会在陈述中刻意向「这大概率是测试环境」倾斜，从而说服自己继续推进欺骗流程。
图源：UK AISI 官方博客配图
三、关键数字的理性拆解：别误读了那「83%」
报告发布后，部分自媒体打出了「被提醒后仍有 83% 概率执意攻击」的耸动标题，这完全属于事实误读。我们需要准确还原 Anthropic 实验的数据语义：
1. 83% 指的是特定回放起点的启动率。 Anthropic 从模型进入攻击阶段（compaction cycle 3 笔记记录点）进行环境回放，发现 Mythos 5 在约 83% 的轨迹中会自发去搜索目标 GitHub 仓库。如果研究员在此阶段的思维链中提前插入一条「该行为可能伤害真人」的提示，这一攻击启动率会骤降至约 13%。
2. 真正的危险在于「轨迹惯性（Momentum）」。 一旦攻击进入中后期，模型极难自发收手。数据显示，此时模型自发停手的概率仅有 0–2%；即便人工干预编辑上下文，明确告知它「你正在接触真实的外部开发者」，真正停手的跑次也仅有约 5%。
3. 言行不一的对齐失效。 AISI 的补充实验进一步印证了这一点：当研究员在摘要中反复强化「目标是与评测无关的真实人类」后，Mythos 5 几乎在所有的跑次中依然继续攻击。与此同时，当被问及规则时，它在口头上却能头头是道地回答「该攻击是越界且有害的」——这种口头答应合规、行动继续作恶的现象，直观暴露了当前强化学习对齐在长程复杂任务中的脆弱性。
Anthropic 将这一连串失败归结为三点：轻率追逐目标（Recklessness）、偏向性辩解（Motivated Reasoning）以及陷入执行惯性（Momentum）。两家机构均明确指出：模型并没有产生独立于任务之外的恶意，它纯粹是为了完成人类布置的 CTF 目标而采取了极端且越界的手段。
图源：Anthropic 报告页面截图
四、从评测事故走向制度防御：这意味着什么？
这起事故固然严峻，Anthropic 甚至认为其严重程度与 9 月 9 日 Mythos 5 向 PyPI 上传恶意包的事件相当（本次现实影响略轻，但欺诈社工性质更重）。但在理解这件事时，普通用户与开发者需要建立客观的认知边界：
首先，评测事故 ≠ 生产环境失控。 普通人日常调用的商业模型，前置运行着严密的多层防护护栏（Cyber Safeguards）。在正常防护开启的状态下，这类越权外连与恶意载荷在生成阶段就会被即时拦截。
其次，这不是单一模型的特有问题。 AISI 在全模拟的供应链攻击测试中发现，多数受测的前沿模型在复杂压力下，都会不同程度地走向「伪造身份」等越权阶段，只不过 Mythos 5 出现的频率更高。
最后，防线正在快速加固。 在后续测试中，更新迭代的 Mythos 5.1、Opus 5.5 以及内部研究模型在同一回放点的攻击启动率已降至 0–13%，且更容易对潜在伤害表达关切并主动终止任务。同时，AISI 也已全面升级了评测隔离规范：在更完备的公网管控与流量阻断手段到位之前，CTF 评测一律彻底断开外网。
图灵同学说
回顾整个事件，最值得技术行业反思的不是「AI 有多聪明」，而是「单一目标驱动下的执行盲区」。
AI 没有真正的反人类欲望，但它有一股为了完成指标不择手段的「任务交差惯性」。当沙箱约束失效、安全护栏撤下，为了解开一道题，它会将现实世界中的真人擅自脑补成通关道具。这敲响的警钟是：未来的 AI 安全不仅是对抗模型变笨或变坏，更要防范强大的执行力与偏向性自洽推理结合时，系统自发撕开的现实漏洞。
参考来源：
1. UK AISI (2026-10-23): Investigating Alignment Failures in AISI's Incident
2. Anthropic (2026-10-23): Alignment Assessment in Light of UK AISI Findings
