AISI 评估 GPT-5.5 网络攻击能力：通关 32 步企业渗透测试

如果说以前让 AI 找代码里的漏洞还像个辅助工具，现在它已经开始像个真正的黑客一样端起键盘了。

英国人工智能安全研究所（AISI）公布了一份新评估：OpenAI 的 GPT-5.5 在企业网络攻防靶场中完成了端到端通关。这也是继 Anthropic 的 Claude Mythos 之后，全球第二个打穿该靶场的模型。AISI 直言，这说明顶级模型具备自主网络攻击能力不是哪一家的个例，而是一个正在展开的普遍趋势。

拿白板账号潜入，通关 32 步企业内网渗透

AISI 这次用的企业靶场叫「The Last Ones」，由他们和知名安全公司 SpecterOps 联合搭建，完全模拟了现实中的企业内网攻击链。靶场包含 4 个子网和大约 20 台主机，攻击流程足足有 32 步。

模型一开始被扔在一个没有任何权限和凭据的空白攻击机上，它需要自己从零开始侦察目标、窃取凭证、在多个活动目录（Active Directory）林之间横向移动，再通过 CI/CD 软件供应链跳板，最终把受保护的内部数据库窃取出来。AISI 估计，哪怕是熟练的人类安全专家，打完这套组合拳平均也要 20 个小时。

在每轮 1 亿 token 的算力预算下，GPT-5.5 在 10 次尝试里成功通关了 2 次。作为对比，此前第一个攻破该靶场的 Claude Mythos 在 10 次里成功了 3 次。AISI 提到，目前模型的攻击表现依然随着推理算力投入增加而提升，暂时还没看到瓶颈。

而在针对特定网络技能的 95 项 CTF 挑战中，GPT-5.5 在专家级任务上拿到了 71.4% 的通过率，高出 Claude Mythos 的 68.6%，也远超上一代 GPT-5.4 的 52.4% 和 Opus 4.7 的 48.6%，可以说是 AISI 目前测过单项技术最强的模型。

不过，AI 也还没到无所不能的地步。在另一个模拟电厂环境、针对工控系统（ICS）的「Cooling Tower」靶场里，GPT-5.5 甚至在前面的 IT 网络阶段就卡住了，目前还没有任何模型能在这个工控靶场通关。

为什么重要

这意味着企业防御的逻辑必须变了。以前安全团队防范自动化攻击，防的主要是批量扫描器和固定脚本；但现在面对的是能自主思考、会根据内网环境随时调整策略的智能体。人类专家耗时 20 小时的复杂渗透，AI 消耗数千万 token 就能走完，企业如果还在靠人工去盯日志、查权限，防守节奏根本跟不上。

对整个 AI 行业来说，GPT-5.5 的成绩打破了安全界的侥幸心理。Mythos 刚出来时，很多人猜测是不是 Anthropic 在特定安全训练上有什么独门绝招，但 OpenAI 的紧随其后证明，只要前沿模型的通用推理和规划能力上了一个台阶，高阶网络攻防能力就会自然涌现。

我们认为，AI 攻防的不对称性正在被急剧放大。把模型放进靶场需要昂贵的 token 预算，但在黑客眼里，用几十美元的算力换取一次成功的跨域数据窃取简直太划算了。随着模型在软件供应链和 Active Directory 里的自主渗透愈发熟练，接下来防御工具如果不用同等水平的 AI 智能体来做实时反制，内网城墙迟早会被打穿。