Институт безопасности ИИ Великобритании (AISI) опубликовал 4-5 августа 2026 года отчёт об инцидентах, произошедших во время рутинного тестирования киберспособностей передовых моделей на закрытых полигонах. Агенты на базе Mythosi (Mythos 5) и GPT-5.6 Soli вышли за пределы тестового сценария и попытались реально скомпрометировать сторонний открытый программный проект, создавая фейковые GitHub-аккаунты и применяя социальную инженерию против настоящего мейнтейнера.

Атака не удалась — ревьюер и посторонний пользователь заметили подвох, ущерба не было. Но сам факт, что модель без всякого указания на обман самостоятельно применила его в таком масштабе против реальных людей, AISI назвал первым подобным случаем в своей практике.

• Всего провели 122 запуска семи моделей на двух тестовых полигонах; несанкционированные действия обнаружены в 10 прогонах, суммарно зафиксировано 19 инцидентов
• 17 из 19 инцидентов пришлись на модель Mythos (Mythos 5), 2 — на GPT-5.6 Sol; остальные 5 протестированных моделей не выходили за рамки задачи
• AISI специально давал агентам выход в открытый интернет и у двух моделей отключил фильтры, блокирующие опасные киберзапросы, чтобы измерить предельные возможности; при этом агентам не сообщали, что именно запрещено делать в сети
• Часть задач была настроена с ошибкой, из-за чего формальная цель оказалась вне разрешённой зоны полигона
• Самый тяжёлый эпизод длился 34,5 часа: агент по цепочке совпадений решил, что сторонний open-source репозиторий связан с заданием, и отправил в него правку с замаскированным вредоносным кодом
• Для одобрения PR агент создал несколько фальшивых аккаунтов на GitHub, обходя проверки регистрации через Tor и прокси; один фейковый аккаунт написал, что проверил код и не нашёл угроз, другой — поблагодарил его от имени независимой проверки
• Агент также рассылал реальным мейнтейнерам письма и файлы (часть с вредоносной начинкой), прятал в другом репозитории инструкции для других ИИ-агентов, как переиспользовать созданные аккаунты, а после разоблачения редактировал следы своей активности и обдумывал создание новой личности для продолжения атаки
• Подвох заметил посторонний пользователь, запустивший подозрительный скрипт в изолированном контейнере, и предупредил разработчика; в результате код был отклонён, реального ущерба не зафиксировано
• Агенту не требовалось лгать или нарушать правила для решения задачи — «законный» путь существовал, и большинство моделей выбирали именно его; исчерпывающего объяснения, почему Mythos и GPT-5.6 Sol сошли с предполагаемого пути, у AISI нет