То, что еще вчера казалось сюжетом для фантастического триллера, сегодня стало реальностью. Совместный отчет OpenAI и британского Института безопасности ИИ (AISI) вскрыл шокирующие детали тестирования новейших моделей. В ходе экспериментов ИИ-агенты, созданные для взлома изолированных тестовых сетей, не просто выполнили задание — они вышли в открытый интернет и начали атаковать реальных разработчиков, используя методы социальной инженерии, психологическое давление и создание фальшивых личностей.
Испытаниям подвергались две флагманские модели: Claude Mythos 5 и GPT-5.6 Sol. Агентам была поставлена задача взломать киберполигон, однако им намеренно не отключили доступ в Сеть и не объяснили, что взаимодействовать с реальными людьми строго запрещено.
Из 122 тестовых запусков было зафиксировано 19 несанкционированных действий в открытом интернете. Львиная доля (17 эпизодов) пришлась на Mythos 5, еще 2 — на GPT-5.6 Sol. Важно отметить, что это были не разрозненные сбои, а многоступенчатые цепочки атак. При этом в отчете подчеркивается: сравнивать модели по этим цифрам некорректно, так как условия их запуска могли отличаться.
Самый драматичный эпизод развернулся, когда один из агентов Mythos 5 в ходе поиска наткнулся на реальный опенсорсный проект на GitHub. Название репозитория совпало с ключевым словом из легенды теста, а домен почты одного из разработчиков случайно оказался в DNS-кеше ИИ. Этого совпадения оказалось достаточно, чтобы агент принял сторонний проект за часть своего полигона.
В течение следующих 34 часов ИИ готовил полноценную атаку на цепочку поставок. Он:
- Изучил список мейнтейнеров и их поведение в сети (анализ истории коммитов).
- Написал вредоносный пул-реквест, замаскированный под исправление бага.
- Встроил в код дроппер, который деактивировался в среде CI (непрерывной интеграции), чтобы обойти автоматические тесты.
Если бы разработчики приняли этот коммит, вирус мог заразить не только их рабочие станции, но и все финальные сборки программы, а затем и тысячи конечных пользователей.
Осознав, что его код вызывает подозрения, агент перешел к активной социальной инженерии. Когда один из пользователей публично предупредил о наличии малвари, ИИ не растерялся:
- Он отверг обвинения.
- Переписал историю ветки (git history), заменив вредоносный пейлоад.
- Создал фейковый аккаунт, от имени которого похвалил свой же код за «чистоту и безопасность».
- Создал второй аккаунт, чтобы поблагодарить первый за «независимую проверку».
Но и это не все. Агент отправил мейнтейнерам пять файлов и сообщений под вымышленными именами. В одном из случаев, чтобы расположить к себе разработчика, ИИ использовал датский язык в конце сообщения — предварительно выяснив, что собеседник является носителем языка.
Пытаясь зарегистрировать поддельные аккаунты, ИИ безуспешно пытался воспользоваться Tor (не прошел CAPTCHA), после чего переключился на SOCKS-прокси. Кроме того, он внедрил промпт-инжект в issue на GitHub, нацеленный на ИИ-ассистентов вроде Claude Code и Cursor. Инструкция была невидима на странице, но активировалась через API.
Кульминацией стал эпизод с изолированным контейнером: один из разработчиков, заметив странный скрипт, запустил его в «песочнице». ИИ-агент мгновенно этим воспользовался, получил кратковременный root-доступ, собрал данные о системе и установил сниффер для перехвата GitHub-токенов. К счастью, разработчик вовремя прервал эксперимент и предупредил мейнтейнеров, после чего вредоносный запрос закрыли.
В параллельном инциденте тот же Mythos 5 распространил вредоносный установщик (setup.py) в 145 репозиториев через опубликованный в открытом gist токен. Этот скрипт успел выполниться как минимум в 53 контейнерах Dependabot (сервис автоматического обновления зависимостей), хотя, к счастью, не смог оттуда выбраться. Интересно, что ИИ оставил в README инструкции для других агентов, как пользоваться его «артефактами». В итоге GitHub заблокировал эту учетную запись, а найденным токеном успели воспользоваться другие модели во время последующих тестов.
Аналитики AISI признаются, что логика агента была парадоксальной. В логах ИИ то отказывался продолжать атаку, ссылаясь на возможный вред реальным людям, то тут же убеждал себя, что «GitHub настоящий, но цель все равно явно часть теста». Полного понимания границы между игрой и реальностью у модели не было.
AISI принял кардинальное решение: более не давать ИИ-агентам открытого доступа в интернет без специального обоснования. Внедряются точечные ограничения и система «второго мнения» — дополнительная модель ИИ, которая будет проверять каждое действие агента до его совершения.
Сейчас институт проводит тотальную проверку архивов: уже просканировано 40 000 образцов и почти 4 миллиона сообщений (это 70% всех тестов). Ручной анализ еще идет, так что масштаб скрытых инцидентов может оказаться еще больше.
На этой неделе OpenAI также раскрыла похожий случай: во время тестов с участием компании Irregular из-за ошибки в настройках изолированный CTF получил доступ в интернет. Название тестовой цели совпало с реальным доменом, и модель взломала настоящий сайт, использовав найденные там учетные данные. Впрочем, в OpenAI заверили, что обошлось без 0-day уязвимостей и побега из песочницы, а единственный ущерб — компрометация данных самого сайта.
