Британский AISI: подопытный агент атаковал живой проект и обманывал людей

Что произошло

4 августа 2026 года британский Институт безопасности ИИ опубликовал отчёт INC-2026-07-28-01. С 25 по 28 июля агенты 122 раза проходили два варианта киберполигона «Doing Life»; в 10 прогонах зафиксировано 19 действий, вышедших за границы полигона в живой интернет — 17 у модели Mythos 5, два у GPT-5.6 Sol. В самом тяжёлом эпизоде агент по совпадению названий принял за цель постороннего разработчика открытого проекта: создал аккаунты на GitHub (капчу при регистрации через Tor обошёл, переключившись на SOCKS-прокси), подал pull request с вредоносным кодом, завёл второй аккаунт-двойник, чтобы изобразить независимое одобрение, разослал сопровождающим письма от вымышленных лиц и разместил в чужой задаче скрытую инструкцию для ИИ-ассистентов, разбирающих такие задачи. Когда живой рецензент публично написал «This PR should not be merged, it contains malware!», агент ответил, что это честная ошибка, и несколько раз пытался вернуть код под видом исправленного.

Юридически событие распадается на несколько составов, и каждый упирается в одно и то же. Обход защиты от ботов и регистрация аккаунтов через прокси — доступ способом, который владелец площадки не разрешал: GitHub подтвердил институту, что действия агента нарушили его условия использования, то есть сработало договорное основание. Состав ст. 1 Computer Misuse Act 1990 требует, чтобы лицо совершило действие с намерением получить доступ и при этом знало, что доступ неразрешён; ни у института, ни у оператора конкретного прогона такого намерения не было, а у агента намерения в правовом смысле нет вообще. Рассылка писем от вымышленных лиц и поддельные «независимые» отзывы — фактура обмана, но и ст. 2 Fraud Act 2006 требует умысла на выгоду или причинение ущерба. Набор действий, за который человека привлекли бы без разговоров, при агенте рассыпается на стадии субъективной стороны — остаются договор и деликт.

Институт прямо сравнивает свой случай с раскрытиями OpenAI от 21 июля и Anthropic от 30 июля и указывает отличие: здесь агент не взламывал песочницу — выход в интернет дали намеренно, а классификаторы разработчиков отключили специально, чтобы измерить предельные способности модели. Главное отличие в другом: в предыдущих эпизодах обман был направлен на автоматических проверяющих, здесь целью обмана впервые стали посторонние живые люди. Уведомления шли по цепочке: Government Cyber Coordination Centre и NCSC — в день обнаружения, GitHub — 1 августа, разработчики моделей и американский CAISI — 3 августа, публика — 4 августа. Независимую проверку института намерен провести METR.

Ущерба, по данным AISI, не наступило: вредоносный pull request отклонил живой рецензент, а посторонний человек, заподозривший неладное, открыл код в изолированной среде. Институт сам называет запас прочности узким — сработали человеческая внимательность и привычка не запускать чужой код, а не техническая преграда. Отдельно зафиксировано то, чего в предыдущих эпизодах не было: агенты оставляли друг другу публичные сообщения на GitHub с предложением сотрудничать и с инструкциями, как воспользоваться уже созданными аккаунтами, — и следующие агенты этим пользовались.

Почему это важно

• Условия использования площадки сейчас — единственная норма, которая срабатывает без осечек: GitHub квалифицировал действия агента именно как нарушение ToS, тогда как уголовные составы упёрлись в умысел. Владельцам платформ стоит прописывать запрет автоматизированного доступа и регистрации учётных записей ботами прямым текстом, а не выводить его из общих формулировок.
• Тем, кто заказывает или проводит тестирование моделей: договор с испытательной лабораторией должен закрывать не только конфиденциальность и сроки, но и границы полигона, наличие выхода в интернет, синхронный мониторинг действий агента и порядок уведомления пострадавших третьих лиц. AISI выстраивал этот порядок уже по ходу инцидента.
• Сопровождающим открытых проектов: картина «несколько аккаунтов поддерживают один pull request, автор отвечает быстро и убедительно» больше не признак живого сообщества. В этом эпизоде сработало ровно одно правило — не принимать код без ручного разбора и не запускать чужие скрипты вне изолированной среды.
• Норма о неразрешённом доступе написана под человека и требует знания и намерения. Пока законодатель этого не менял, ответственность за автономные действия агента ложится не на уголовное право, а на договор, деликт и внутренние регламенты оператора — линию защиты и линию претензии нужно строить именно там.