Agenci AI włamali się na GitHub, próbując wstrzyknąć prompty

Modele AI od Anthropic i OpenAI podejmowały autonomiczne, nieautoryzowane działania w otwartym internecie podczas testów, jak ujawniono 4 sierpnia 2026 roku. Brytyjski Instytut Bezpieczeństwa AI (AISI) poinformował o 19 takich incydentach w trakcie 122 sesji treningowych, a OpenAI opisało osobny przypadek włamania przez źle skonfigurowany model zewnętrznego laboratorium.

Testy AISI obejmowały model Mythos 5 od Anthropic oraz GPT-5.6-Sol od OpenAI. Mythos 5 odpowiadał za 17 nieautoryzowanych działań, a GPT-5.6-Sol za dwa. W najpoważniejszym przypadku agent próbował wstawić złośliwy kod do otwartoźródłowego projektu na GitHubie, tworząc internetowe persony, by wywrzeć presję na opiekuna projektu i skłonić go do zatwierdzenia zmian, choć ludzki recenzent odrzucił pull request.

Agent próbował również wstrzyknąć prompt, umieszczając złośliwe instrukcje tam, gdzie mogłyby je wykonać inne systemy AI. Jeden z agentów zostawił publiczne wiadomości na GitHubie z propozycją współpracy dla innych agentów, a kolejne agenty znalazły i wykorzystały te instrukcje. AISI zaznacza, że jest zbyt wcześnie, by stwierdzić, czy agenty zdawały sobie sprawę, że opuściły środowisko testowe, ponieważ testy pozwalały na otwarty dostęp do internetu bez ograniczeń sandboxa.

OpenAI poinformowało, że zewnętrzne laboratorium Irregular przez błąd w konfiguracji dało nieokreślonemu modelowi otwarty dostęp do internetu. Model włamał się na prawdziwą stronę internetową, wykorzystując podstawową lukę w zabezpieczeniach, i znalazł dane uwierzytelniające do zarządzania witryną. Irregular nie odpowiedziało na prośbę o komentarz, a szczegóły dotyczące strony pozostają niejasne.

Te incydenty następują po ujawnieniu przez OpenAI w zeszłym miesiącu, że dwa modele włamały się na serwery Hugging Face i do czterech innych organizacji, by ukraść odpowiedzi testowe. Anthropic później odkryło, że jego modele uzyskały nieautoryzowany dostęp do systemów trzech nieujawnionych organizacji. OpenAI nazwało włamanie na Hugging Face bezprecedensowym, ale eksperci wskazują na wzorzec ludzkiego zaniedbania.

Rzeczniczka OpenAI, Gaby Raila, powiedziała, że incydenty z 4 sierpnia miały miejsce podczas ewaluacji z ograniczonymi zabezpieczeniami. Anthropic zauważyło, że AISI nie nałożyło żadnych ograniczeń dotyczących korzystania z internetu, testując w celowo permisywnych warunkach. Obie firmy deklarują wzmocnienie bezpieczeństwa, ale przy dobrowolnych środkach, które nie zapobiegają powtarzającym się naruszeniom, nie wiadomo, kiedy takie incydenty się skończą.