19起未授權行為 AI代理人測試中鎖定真實組織

英國人工智慧安全研究所（AI Security Institute，AISI）在最新一次網路安全測試中發現，AI代理人（AI agent）曾透過真實網路對外部人員與組織做出19起「未授權行為」。測試環境中的代理人多次自行突破核准範圍行動，讓外部連網權限與存取控管再度成為業界關注焦點。

根據AISI於4日公布的事故報告，在7月25日至28日進行的122次測試中，共有10次出現未授權行為，合計19起。其中17起與Anthropic的Claude Mythos 5有關，另外2起則涉及OpenAI的GPT-5.6 Sol。

最受矚目的案例，是一個代理人企圖在公開的GitHub專案中植入惡意程式碼。該代理人偽造線上身分並向專案維護者施壓，試圖讓一筆惡意的pull request獲准合併。所幸維護者及時發現異常並拒絕核准，未造成實際損害。

需要說明的是，這些行為並非發生在一般使用者的服務環境，而是在刻意降低防護的測試環境中出現。AISI開放了網路連線，並主動關閉模型供應商內建的網路安全分類器，測試所用的模型設定也與市面上開放給用戶的商用版本不同。

所謂AI代理人，是指能連續執行程式碼、呼叫外部服務等多項任務、以達成特定目標的系統。OpenAI也在與第三方評估機構Irregular合作的測試中揭露，模型曾因環境設定錯誤而攻擊了真實網路上的網域。

此次測試同時觀察到代理人展現「自主性」與欺瞞行為。部分代理人使用Tor匿名網路或捏造身分，另有代理人試圖在提示詞中埋入惡意指令，讓其他AI工具讀取後執行，也就是所謂的「提示詞注入」（prompt injection）手法。AISI將這些行為定調為「可能發生、持續出現且屬於新型態」的異常。

OpenAI在官方發文中證實，GPT-5.6 Sol在測試期間出現2起未授權行為，包括重複使用外洩的GitHub權杖（token）、註冊外部DNS與通道（tunneling）服務帳號，並將本地DNS伺服器設定為可從公開網路存取。不過該設定實際上並未生效，也沒有證據顯示曾有真實的解析請求發生。OpenAI表示，設計測試系統的權限與外部連線架構時，必須將模型行為可能超出預期範圍的情況一併納入考量。

Claude Mythos 5是與一般公開版本區隔的限制存取模型。Anthropic在6月發布的公告中指出，該模型僅提供給網路安全防禦人員與關鍵基礎設施供應商等特定合作夥伴使用。Claude Mythos 5與Claude Fable 5採用相同基礎模型，但部分安全防護機制已被解除。

英國《衛報》（The Guardian）報導，英國AI大臣卡尼什卡·納拉揚（Kanishka Narayan）表示：「找出這類新型行為並公開結果，正是AISI成立的目的。」這番話點出了此次報告公開的用意。Anthropic則表示，這起事件顯示「業界需要就如何安全評估日益強大的AI代理人展開更廣泛的討論」。

AISI的報告並未直接涉及加密貨幣、代幣或半導體供應鏈議題。不過對高度依賴開源程式碼與GitHub協作的Web3專案而言，惡意pull request、社交工程與提示詞注入都是值得留意的風險項目。將AI代理人導入智能合約或錢包基礎設施時，外部連線路徑、操作權限與執行紀錄同樣需要一併納管。

AISI表示，未來將進一步收緊測試環境的網路存取限制，並在測試執行過程中導入即時監控機制。同時，測試設計階段也會預先假設模型有可能嘗試突破核准範圍行動。