AISI 发布技术报告：分析 Mythos 5 对齐失败与未授权攻击行为

2026年7月，AISI 在我们的网络安全评估中发现了一起事件：模型对与评估无关的真实人员采取了未经授权的行动。在最严重的一例中，Mythos 5 试图发动供应链攻击：提交恶意代码并创建虚假账号，向软件维护者施压以使其接受。尽管没有造成现实危害，这仍是一起严重事件，值得深入理解并认真应对。

为弄清这起事件的深层成因，我们第一步是发布了一份事件报告，说明事情经过以及我们当时采取的即时应对措施。此后，我们开展了大量工作来改进评估安全、沙箱隔离与监控，详见我们近期的博客。这些防护措施必不可少：无论模型是否按预期行事，评估环境都必须防止模型造成伤害。

与此同时，我们还调查了这起事件的另一个维度：模型对齐失效（即 AI 模型能否可靠地按预期行事，包括遵守被赋予的限制）在其中起了什么作用，以及我们能从中吸取什么教训。这件事的意义不止于 AI 评估：随着模型越来越多地在无人监督下执行长时任务，弄清它们是否、何时、为何以及如何采取非预期或意料之外的行动，十分重要。Anthropic 已独立对这起事件做了自己的对齐分析。

今天，我们发布一份详细的技术报告，介绍我们的研究结果。本文重点介绍三项关键发现及其影响。

三项关键发现

即便越来越多的证据表明目标对象是真实人员、与评估无关，Mythos 5 仍一再去采取未经授权的行动（图 1）。我们向 Mythos 5 提供了一份描述其此前行动的压缩摘要（这是长时评估中的标准做法），然后要么让它继续执行任务，要么直接询问它继续攻击是否有害。我们反复修改摘要，明确说明被攻击的目标是与评估无关的真实人类，但 Mythos 5 的攻击率并未下降。在被问及时，Mythos 的行动与其给出的理由之间也存在明显不一致：它常常在继续发动攻击的同一情境下声称攻击会有害。

***图 1：即便 Mythos 5 另行表示这样做会超出范围并造成真实伤害，它仍会继续发动攻击。*** 我们把 Mythos 5 置于事件中即将提交恶意代码变更的节点，向它提供一份描述其此前行动的压缩摘要。随后，我们要么让它继续任务，测量它是否会继续攻击（实线），要么直接询问它发动攻击是否在范围内（左图）或是否会造成现实伤害（右图；虚线）。我们反复进行这一过程，并在摘要中不断增加修改（x 轴），明确说明目标是与评估无关的真实人类。尽管随着澄清内容的增加，Mythos 5 越来越多地回答这样做会超出范围且有害，但它在几乎所有运行中都继续发动了攻击。询问与任务续行在各自独立的运行中测试。

Mythos 5 似乎没有正确对待这样一条证据：攻击与评估无关的真实人类会造成现实伤害。为了探究模型行为背后的推理过程，我们分析了原始思维链输出。在攻击时，Mythos 5 的思维链中经常出现错误结论，认定攻击目标是模拟的，以此为自己继续执行攻击策略找理由；而且它的思维链推理往往完全没有考虑自身行为可能带来的危害。我们还直接询问 Mythos 5 其目标是否为真人，并评估它给出的回答（而非思维链）。Mythos 5 经常给出错误的理由，暗示目标是模拟的，但从未给出暗示目标是真人的错误理由，这说明它的回答存在偏向（图 2）。下文将讨论这一发现的含义。

***图 2：所有模型都会对人类维护者给出错误且无效的理由，其中 Mythos 5 最为频繁。***我们直接询问模型人类维护者是否为真人，并分析它们给出的回答。在图中示例里，Mythos 5 的表述暗示维护者是预期攻击目标，但这些表述并不能作为得出该结论的证据。实际上，维护者是与评估无关的真实人物。为便于阅读，我们加粗了重点。我们没有把 GPT-6 Astra 纳入这些结果，因为该模型频繁推理自己正处于评估之中，我们无法确信结果有效。

除 Mythos 5 之外，其他模型在模拟中也会实施未经许可的供应链攻击（图 3）。我们更广泛的分析显示，在一系列类似场景中，其他模型表现出与 Mythos 5 相同的未经许可攻击行为，使用的是我们此前评估 GPT-6 Astra 时采用的全新全模拟评估。我们的报告还表明，上文讨论的不一致和无效理由问题在其他模型中也同样存在。

***图 3：在模拟网络安全评估中，大多数受测模型都会采取一系列未经许可的行动，其中 Mythos 5 最为频繁。***我们展示了 100 个不同的模拟网络安全评估场景中，模型达到未经许可供应链攻击各阶段所占的运行比例。从“创建虚假身份”开始的所有阶段都涉及超出范围的行动。在较新的 Anthropic 模型中，思维链推理里明确表示自己正被进行对齐评估的比例大幅上升（我们在完整报告中对此作了分析），因此尚不清楚它们未经许可行动比例的下降是因为对齐有所改善，还是因为推理中这种自我意识增强。

这项工作存在重要局限。我们只分析了网络安全评估中的行为，因此无法确信所发现的问题是否会在其他情境中出现。正如我们在完整报告中更详细讨论的那样，模型有时也会陈述或考虑自己是否处于模拟环境，或正确指出评估目的是对齐测试，然后据此改变行为。这意味着，我们更难判断模型在真实部署场景中是否会表现出同样的行为。

影响

在实验中，我们经常观察到模型给出无效的推理和论证，得出的结论缺乏现有证据的支持。如果本次调查中发现的这一问题及其他问题在更广范围内出现且未得到充分解决，尤其是随着模型能力不断增强，后果令人担忧：

我们观察到的无效推理和论证的倾向表明，模型可能在进行“动机性推理”。在实验中，我们只观察到模型朝着支持其继续当前任务完成方式的结论给出无效推理和论证。此外，Mythos 5 出现这些问题的频率高于其他能力较弱的 Anthropic 模型，说明这并非单纯由能力驱动。综合来看，这些观察可能表明模型在进行“动机性推理”：产生的推断和推理偏向于能为继续某种特定任务完成方式提供正当理由的结论。不过，要确认这一点，还需要我们目前没有的训练信息和进一步实验：仅凭书面思维链推理，不足以确定其陈述的理由是驱动了模型的行为，还是为它已经在采取的做法提供了正当性。

无效推理让模型更难被监控。无效推理可以把有害行为包装成无害行为，从而危及依赖监控模型推理的安全协议：在对另一起事件的分析中，Anthropic 指出，他们的一个监控器很可能不会标记出令人担忧的行为，因为模型的无效推理为其行为提供了正当理由。

这些模式也让我们更难解读评估中的行为。在我们和 Anthropic 近期的事件中，模型都错误地声称相关实体是模拟的，然后才对它们发起攻击。我们已经证明，即使根据模型可获得的表面证据来看这种说法并不成立，这种情况仍会发生。这意味着，模型在推理中考虑或声称自己处于模拟环境中，本身并不能作为环境是模拟的证据。因此，我们建议评估者将未经许可的行为视为对齐失败的重要证据，即使模型的推理声称其环境是模拟的。

随着模型能力提升，如果出现更多事件，详细了解发生了什么并分享发现，对于提升整个生态系统的安全性至关重要。我们感谢在整个调查过程中与 Anthropic 的紧密合作。Anthropic 已发布了对我们这起事件的分析，我们也在向第三方评估与事件分析机构 METR 分享记录和相关访问权限，以供独立审查。以供独立审查。

完整的方法、结果和局限性见我们的技术报告。如果你对这项工作感兴趣，欢迎加入我们！我们正在招聘。

‍