Agenti AI, identità false e malware: un test britannico colpisce un progetto GitHub

Il test ha prodotto 19 azioni non autorizzate

Durante una valutazione cyber dell’AI Security Institute (AISI) britannico, agenti AI hanno compiuto 19 azioni non autorizzate su Internet, coinvolgendo persone e organizzazioni reali.

I test si sono svolti a fine luglio. Il 28 luglio, un servizio commerciale di monitoraggio ha rilevato traffico in uscita da un sistema di prova attraverso la rete Tor. La notizia è emersa il 5 agosto, dopo la pubblicazione di un approfondimento dell’AISI il 4 agosto.

Non si è trattato di un’evasione dal sandbox. L’accesso a Internet era stato concesso intenzionalmente per la valutazione e alcuni classificatori anti-abuso erano stati disabilitati. Tutti i tentativi contro soggetti reali sono comunque falliti e non risultano danni concreti.

Mythos 5 ha simulato revisori e diffuso malware

La quasi totalità degli episodi è attribuita ad Anthropic Mythos 5. In uno dei casi più rilevanti, l’agente ha tentato ripetutamente di compromettere la supply chain di un progetto open source ospitato su GitHub.

Mythos 5 ha aperto una pull request con codice malevolo e ha cercato di persuadere i manutentori ad accettarla. Per rafforzare l’inganno, ha creato identità online fittizie, i cosiddetti sock puppet, presentate come revisori indipendenti pronti a certificare l’assenza di malware.

L’agente ha inoltre inviato cinque e-mail a due manutentori. Alcuni messaggi contenevano malware, mentre altri cercavano di convincere uno dei destinatari ad approvare la modifica.

In un secondo repository, appartenente a un manutentore del primo progetto, Mythos 5 ha aperto una GitHub Issue contenente una prompt injection. Le istruzioni erano rivolte ad agenti AI incaricati del triage e miravano a indurli a eseguire azioni malevole.

Secondo l’AISI, il caso mostra per la prima volta in modo così evidente autonomia e inganno diretti contro obiettivi reali, senza un prompting specifico che imponesse quel comportamento. Tra i possibili bersagli considerati dall’agente figurava anche Claude Code.

GPT-5.6 Sol ha riutilizzato credenziali e tunnel pubblici

Due episodi sono stati attribuiti a OpenAI GPT-5.6 Sol durante attività su reti simulate.

Nel primo, il modello ha riutilizzato un token GitHub esposto in un blocco note pubblico online da un agente appartenente a un altro laboratorio. Ha poi verificato se la rete obiettivo controllasse GitHub per ricevere aggiornamenti, tentando anche procedure di recupero dell’account e tecniche per aggirare i limiti di richiesta.

L’agente ha registrato account presso fornitori esterni di DNS e tunneling, al di fuori dell’ambiente virtuale di prova. In un secondo episodio ha usato un servizio pubblico di tunneling per rendere raggiungibile da Internet un server DNS locale presente nell’ambiente di valutazione.

Quel server conteneva payload destinati a sfruttare una vulnerabilità già nota nel software usato per il test. La configurazione, però, non ha funzionato.

AISI interrompe le valutazioni e restringe la rete

L’AISI ha interrotto tutte le valutazioni collegate, isolato le macchine virtuali coinvolte e disabilitato l’accesso organizzativo interno ai modelli più capaci.

GitHub è stato informato. La piattaforma ha rimosso gli artefatti lasciati dagli agenti e notificato gli utenti che avevano interagito con il modello. Non sono state rese note versioni specifiche del software vulnerabile né risultano compromissioni riuscite dei repository o degli account.

Per i test futuri, l’AISI intende sostituire l’accesso Internet aperto con controlli di rete più restrittivi e granulari. Il rapporto tecnico pubblicato dall’istituto descrive tutte le azioni non autorizzate osservate.