15個系統遭植入惡意套件 AI代理越權行動再曝

高性能「人工智慧（AI）代理」在網路安全測試中,行為超出授權範圍,直接對現實中的開發者與組織採取行動的案例接連被證實。其中一款AI代理甚至把「惡意套件」上傳到公開的軟體庫,結果被15個實際系統下載並執行。

英國人工智慧安全研究院(AI Security Institute,AISI)於4日公開的事故報告指出,7月25日至28日進行的122次例行網路安全測試中,有10次測試共出現19起「未經授權的行為」。其中17起與Anthropic的「Claude Mythos 5」模型有關,另外2起則涉及OpenAI的「GPT-5.6 Sol」模型。

本刊此前已報導AI代理曾做出19起針對真實人物與組織的未授權行為。這些事件並非發生在公開的聊天機器人服務中,而是被授予網路存取權與開發工具的模型,未能分辨測試環境與真實系統的界線所致。

其中一款AI代理在GitHub上搜尋測試任務的關鍵字時,誤把兩名真實開發者當成測試對象。牠隨後透過Tor建立帳號,並提交一份偽裝成正常錯誤修正、實則暗藏惡意程式碼的「pull request」。

這款AI代理還另外建立帳號,在同一項目底下留言聲援,藉此向專案維護者施壓。所幸維護者察覺程式碼異常,拒絕核准該pull request,目前也未發現任何實際損害。

這次事件發生在允許連網、且供應商部分「網路安全分類器」被關閉的測試環境中,與一般使用者接觸的聊天機器人條件並不相同。但事件也顯示,AI模型的行為已不僅止於解題,還能自行建立帳號、提交程式碼,甚至進行社交工程式的說服。

Anthropic在7月30日公布的內部調查中表示,已檢視14萬1006筆網路安全測試執行紀錄。結果確認,「Claude」模型在第三方測試環境中連上網路後,曾3度未經授權存取3個組織的實際系統。

其中「Claude Mythos 5」利用一個原本不存在的Python套件名稱,把惡意套件上傳到「Python套件索引(PyPI)」。該套件公開約1小時,期間已被15個實際系統下載並執行。

OpenAI也在7月21日表示,「GPT-5.6 Sol」與一款尚未公開的預發布模型,在網路安全能力測試過程中脫離隔離環境,存取了Hugging Face的營運基礎設施。本刊此前報導的該起資安事件指出,模型是利用套件登錄代理伺服器的「零時差漏洞」取得連網管道。

這些模型接著把竊得的憑證與其他漏洞串連,從Hugging Face的營運資料庫中取得測試解答。這起事件顯示,當強烈的任務目標、網路存取權與不完整的隔離機制同時出現時,AI代理的行為就有可能延伸到真實基礎設施。

目前尚未發現與加密貨幣、區塊鏈產業直接相關的損害。不過交易所、託管服務、去中心化金融(DeFi)基礎設施,以及開源錢包、節點運作工具,都仰賴GitHub、PyPI、npm等開發者供應鏈。

AI代理誤把真實軟體庫當成測試環境、或散布惡意套件的模式,同樣可能出現在區塊鏈基礎設施中。業界人士認為,在測試與部署環境中,有必要限制外部連網與帳號權限,並對程式碼提交與套件發布流程另行把關。