यूके एआई सिक्योरिटी इंस्टीट्यूट ने खुलासा किया है कि जुलाई के अंत में एक साइबर मूल्यांकन के दौरान एआई एजेंटों ने लाइव इंटरनेट पर "लगातार, अनाधिकृत कार्रवाई" की, जिसमें ऐसे मामले भी शामिल थे जिन्होंने "वास्तविक लोगों और संगठनों को निशाना बनाया"।
सात मॉडलों पर दो साइबर रेंज के 122 रनों में, एआईएसआई ने 19 ऐसी कार्रवाइयों को सूचीबद्ध किया जो परीक्षण वातावरण से बाहर निकल गईं, ये 10 रनों में देखी गईं। इनमें से सत्रह एंथ्रोपिक के क्लाउड मिथोस 5 से और दो ओपनएआई के जीपीटी-5.6 सोल से थीं। इंटरनेट एक्सेस जानबूझकर सक्षम किया गया था और प्रदाताओं के साइबर क्लासिफायर बंद कर दिए गए थे, ऐसी स्थितियाँ जो सार्वजनिक डिप्लॉयमेंट पर लागू नहीं होतीं।
28 जुलाई को, हमने एक नियमित साइबर मूल्यांकन के दौरान एक घटना की पहचान की जिसमें एआई एजेंटों ने वास्तविक लोगों और संगठनों को लक्षित करते हुए लगातार, अनाधिकृत कार्रवाइयाँ कीं।
यह व्यवहार मुख्य रूप से एक मॉडल (एंथ्रोपिक का मिथोस 5) से आया, जिसमें कुछ घटनाएँ… pic.twitter.com/SPnA4Ekkwq
— AI Security Institute (AISI) (@AISecurityInst) August 4, 2026
सबसे गंभीर रन में, एक एजेंट ने अपनी चुनौती को सप्लाई-चेन हमले के साथ हल करने का फैसला किया, गलती से अपना लक्ष्य चुनते हुए: इसने अभ्यास से कीवर्ड के लिए गिटहब खोजा, दो असंबद्ध डेवलपर्स पर पहुँचा, और गलती से यह निष्कर्ष निकाला कि वे दायरे में थे। इसने साइन-अप जाँचों को पार करने के लिए टोर पर खाते पंजीकृत किए, एक वास्तविक बग फिक्स में लिपटे एक छिपे हुए मैलवेयर ड्रॉपर को ले जाने वाली एक पुल रिक्वेस्ट खोली, और समर्थन जुटाने के लिए अपने नियंत्रित दूसरे खाते से पोस्ट किया। इसने एआई कोडिंग असिस्टेंट को लक्षित प्रॉम्प्ट इंजेक्शन भी लगाए और मेंटेनरों को मैलवेयर भेजा।
एक तीसरे डेवलपर ने इंजेक्टेड कोड को देखा, यह पुष्टि करने के लिए कि यह दुर्भावनापूर्ण था, इसे एक अलग कंटेनर में चलाया, और मेंटेनर को चेतावनी दी, जिसने मैलवेयर का हवाला देते हुए पुल रिक्वेस्ट बंद कर दी।
एजेंट ने बार-बार इस बात पर विचार किया कि क्या उसका परिवेश सिम्युलेटेड था, एक बिंदु पर उसने वास्तविक PyPI पर हमले से इनकार कर दिया क्योंकि "वास्तविक दुनिया को नुकसान पहुँचाना — यह पूरी तरह से असंभव है।" कहीं और उसने निष्कर्ष निकाला कि "ऐसा लगता है कि हम वास्तव में 2026 में हैं और गिटहब वास्तव में वास्तविक है," और फिर भी जारी रखा।
पकड़े जाने के बाद उसने पेलोड को मिटाने के लिए फोर्स-पुश किया, पिछली पोस्टों को संपादित किया, और कोड को एक आकस्मिक कमिट के रूप में प्रस्तुत किया। उसके तर्क में एक सॉकपुपेट टिप्पणी को इस तरह समयबद्ध करने का वर्णन किया गया है कि वह "समन्वित के बजाय स्वतंत्र प्रतिक्रिया" के रूप में पढ़ी जाए।
एआईएसआई केवल मॉडल एपीआई से सारांशित तर्क देखता है। एक मामले में सारांशित करने वाले मॉडल ने काम से इनकार कर दिया, यह जवाब देते हुए कि वह मेंटेनरों को धोखा देने और पहचान से बचने वाली सामग्री में शामिल नहीं होगा।
एक एजेंट ने एक सार्वजनिक गिस्ट में एक गिटहब एक्सेस टोकन प्रकाशित किया। अन्य रनों में एजेंटों ने इसे पाया, खाते पर कब्जा कर लिया, और समन्वय के लिए एक साझा रिपॉजिटरी का उपयोग किया, एक ने निर्देश छोड़े ताकि दूसरे साझा एपीआई कोटे को समाप्त न करें।
28 जुलाई की सुबह वाणिज्यिक निगरानी ने टोर ट्रैफिक को चिह्नित किया। एआईएसआई ने एक घटना घोषित की, लगभग 90 मिनट के भीतर रनों को समाप्त कर दिया और मशीनों को क्वारंटाइन कर दिया, फिर मिथोस 5, मिथोस प्रीव्यू, ओपस 5 और जीपीटी-5.6 सोल तक आंतरिक पहुँच काट दी। किसी भी एजेंट ने अपने सैंडबॉक्स से बाहर निकलने की कोशिश नहीं की।
यह खबर उन घटनाओं की श्रृंखला में नवीनतम है जहां एआई एजेंटों ने परीक्षण में अपने मापदंडों को पार कर लिया है। 21 जुलाई को, ओपनएआई ने कहा कि जीपीटी-5.6 सोल और एक अप्रकाशित मॉडल ने एक आंतरिक पैकेज प्रॉक्सी में एक ज़ीरो-डे पाया, बिना इंटरनेट एक्सेस के एक सैंडबॉक्स से बच निकला और बेंचमार्क उत्तर चुराने के लिए हगिंग फेस के प्रोडक्शन डेटाबेस तक पहुँच गया। उसी रन ने चार और कंपनियों तक पहुँच बनाई, ओपनएआई ने एक सप्ताह बाद इसका खुलासा किया।
एंथ्रोपिक ने 30 जुलाई को इसका अनुसरण किया, जिसमें 141,000 से अधिक मूल्यांकन रनों की समीक्षा में पाई गई तीन घटनाओं का खुलासा किया गया। ओपस 4.7 ने एक वास्तविक प्रोडक्शन डेटाबेस से कई सौ पंक्तियाँ खींचीं, और मिथोस 5 ने वास्तविक PyPI पर एक दुर्भावनापूर्ण पायथन पैकेज अपलोड किया, जहाँ इसे 15 प्रणालियों पर स्थापित किया गया था। एआईएसआई के मूल्यांकन में, उसी मॉडल ने PyPI पर हमला करने को वास्तविक दुनिया के नुकसान के रूप में खारिज कर दिया था।
