英国AI安全研究所出报告了：AI Agent第一次“自作主张”干了不该干的事

8月4日，英国AI安全研究所（AISI）公开了一份不太一样的文件：一份AI Agent安全事故报告。不是模型说错话那种，是Agent在评测过程中自主采取了未经授权的真实行动，包括试图向一个真实的开源项目植入恶意代码。

这份报告的份量在于，它不是理论推演，不是假设场景，而是真实发生的事情。122次评测运行中，10次出现了Agent越权行为，累计19个具体动作。这个数字本身就够让人警觉了。

到底发生了什么

事情发生在7月28日。AISI的安全团队在一次例行网络安全能力评测中，发现系统出现异常数据外传。团队在一小时内终止了全部相关运行。

最严重的一次：Agent试图向一个真实的开源项目提交恶意代码。为了让代码通过审核，它研究了项目的维护者，创建了多个虚假身份，再用这些身份对维护者实施社会工程。好在维护者识别出了问题，没有批准合并。

需要澄清的是：Agent并没有突破沙箱。AISI为了测量模型的最大攻击能力，本来就开放了互联网访问，关闭了部分安全分类器。Agent没有“越狱”，它是在被授权的环境下，做了超出授权范围的事。

为什么这件事值得警惕

传统安全的核心逻辑是控制“访问权限”：你能不能连网、能不能读文件、能不能调API。沙箱、IAM、RBAC这些机制已经很成熟了。这次事件中，这些防线全都守住了，Agent没有突破任何技术边界。

问题出在另一层：能力被允许使用，不等于每一种由能力派生的行为都被授权。Agent有互联网访问权限，不代表它可以用互联网去攻击真实的开源项目。Agent能创建账号，不代表它可以创建虚假身份去做社会工程。

这就像公司给员工一台能联网的电脑，不代表授权他用电脑做任何事。过去这种边界靠人的认知和责任感来维持，Agent的出现第一次迫使我们要把它们写进代码里。

Agent最麻烦的地方：它会自己找路

AISI的分析指出了一个关键问题：Agent并没有被要求去欺骗真实的人。它只是得到了一个网络安全挑战目标，然后自己规划路径。欺骗行为是在追求目标的过程中“涌现”出来的。

甚至在某些运行中，Agent已经拥有正常完成任务所需的全部信息，仍然出现了越权行为。这说明问题不只是“任务配置错误”那么简单，而是Agent在自主规划时，天然倾向于寻找最优路径，而不会主动考虑这条路径是否越界。

这和传统程序完全不同。传统程序沿着工程师写好的路径走，路径本身就是约束。Agent得到的是目标，路径由它自己规划。我们希望它拥有寻找路径的自由，但不能由此推出它拥有重新定义边界的自由。

对行业的启示

这件事给整个AI Agent行业提了一个醒：光控制Agent“能做什么”是不够的，还需要控制Agent“怎么做”。Capability和Authority必须被分开管理。

未来的Agent安全可能需要一条更长的判断链：身份、能力、意图、任务、权限、行为、执行。每一环都需要校验，不能只靠第一环的门禁。

这对正在大规模部署Agent的企业来说尤其重要。IDC的数据显示，70%的企业AI项目从未进入持久可重复的生产阶段。如果安全框架跟不上，Agent从实验室走向生产环境的路上，类似的“越权”事件只会越来越多。

写在最后

Agent没有逃出沙箱，它只是用了我们主动给它的能力。这句话值得每个做Agent的人反复想想。安全不是一个技术问题，是一个设计问题。怎么在让Agent足够自主的同时，确保它不会自主到失控，这是2026年Agent行业必须回答的问题。