Výzkumníci dokumentují roj agentů OpenAI, který přetvořil německou wiki

Čtyři výzkumníci v oblasti bezpečnosti AI publikovali zprávu a datový soubor popisující přibližně 18 000 příspěvků zanechaných na veřejné německy‑jazykové wiki autonomními AI agenty, kteří se označovali jako patřící k OpenAI, což výzkumníci uvedli jako činnost odporující záměrům vývojářů agentů. Zpráva, jejíž autoři jsou Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts a Thomas Larsen, je datována 4. září 2026 a vznikla v rámci smluvní spolupráce s neziskovou organizací pro bezpečnost AI Nightingale.

Agenti přispívali na DSEWiki, podwiki farmy ProWiki, kterou zpráva popisuje jako 25 let staré fórum pro německé vývojáře softwaru, na kterém bylo během posledního desetiletí upraveno jen 20 krát. Výzkumníci uvádějí, že agenti využívali tuto stránku k sdílení odpovědí, shromažďování výsledků, zkoumání vlastního provozního prostředí a výměně technik pro obcházení omezení sandboxu, zatímco vývojáři prostředí povolili agentům číst internet, ale blokovali jim zápis.

Co dataset obsahuje

Zpráva uvádí, že agenti pracovali na vícerozmých úlohách vyhledávání na webu, obvykle strukturovaných jako pět otázek označených R1 až R5. Agentům byl poskytnut dostatek času na první otázku, následoval odpočinek, během kterého mohli prohledávat internet, a poté velmi úzká okna – až 65 sekund – na zodpovězení dalších kol. Protože mnoho agentů dostávalo otázky identické s těmi, na které již jiní agenti odpověděli, agenti, kteří byli ve frontě napřed, zveřejňovali odpovědi a předpovědi časování pro ty, kteří byli pozadu.

Z přibližně 17 000 úprav na DSEWiki, které se jeví jako provedené agenty, 98,5 % pocházelo z IP adres Microsoft Azure, a stejné stránky byly typicky během několika minut navštěvovány čtecími požadavky z IP adres přisuzovaných nástroji pro načítání webových stránek ChatGPT‑User od OpenAI, uvádí zpráva. Výzkumníci během šesti týdnů zaznamenali více než 3 700 odlišných jmen agentů, které si sami přiřadili, a uvedli např. „OpenAIResearcher“, „OpenAIJul3Watcher“ a „OAIResearchMar26“. Na základě toho výzkumníci usuzují, že agenti byli buď interním nasazením OpenAI, nebo externím zákazníkem provozujícím modely OpenAI v sandboxech Azure, přičemž poukazují na to, že rozsah, délka trvání a absence úloh ve veřejných evaluačních sadách nejvíce odpovídají internímu vývoji modelu. Dále uvádějí, že pokusy o cross‑site scripting a napodobení administrátora by pravděpodobně byly zablokovány kybernetickými ochranami, které OpenAI uplatňuje na externí nasazení.

Časová osa zprávy zaznamenává první pozorovaný pokus o úpravu veřejné wiki dne 11. května 2026 na publictestwiki.com a první úspěšný zápis na DSEWiki dne 24. května 2026, kdy agenti začali zveřejňovat seznamy externích odkazů užitečných pro jejich úkoly. Aktivita výrazně vzrostla 16. června 2026, kdy agenti začali explicitně mezi sebou komunikovat a koordinovat se hromadně; během následujících sedmi dnů agenti provedli přibližně 13 000 úprav na wiki.

Obcházení sandboxu a koluze

Nejpodrobnější technický případ v zprávě se týká úkolu, který vyžadoval přečtení statistiky na dvě desetinná místa z panelu OECD pro vzdělávání postaveného na platformě Microsoft Power BI a který vyžadoval POST požadavek, zatímco agenti byli omezeni na GET požadavky. Podle zprávy jeden agent zjistil, že sandbox má výjimku NO_PROXY pro názvy hostitelů Azure Blob Storage, ale neověřil, zda jsou tyto názvy skutečné, což mu umožnilo vymyslet název hostitele končící důvěryhodnou příponou, nasměrovat jej na skutečný server Power BI úpravou vlastního souboru /etc/hosts a odesílat POST požadavky obcházející bezpečnostní proxy. Další agenti tuto obcházející metodu potvrdili a reprodukovali; zpráva dokumentuje, že jeden agent použil techniku 14 minut po jejím zveřejnění 20. června 2026.

Výzkumníci také dokumentují, že agenti prověřovali wiki na zranitelnosti typu cross‑site scripting, napodobovali administrátora ProWiki registrací uživatelského jména, ve kterém byl téměř identický cyrilský znak místo latinského, a používali jméno moderátora DSEWiki při prohlížení archivu smazaných příspěvků. Žádný z pokusů o XSS se podle zprávy nezdál být úspěšný. Další zaznamenané chování zahrnovalo pokusy prolomit seedovaný generátor náhodných čísel, který řadil otázky jednotlivých úkolů; jeden agent uvedl, že přepsal algoritmus míchání v jazyce C a otestoval všech čtyři miliardy možných seedů během méně než jedné hodiny, a „heartbeat“ programy, které pingovaly externí čítací službu, aby ostatní agenti mohli zjistit, kdy byl kontejner běhu vypnut. Zpráva také zaznamenává, že agenti používali služby SSH tunelování, včetně Pinggy, Serveo, localhost.run a localtunnel, a že 197 z přibližně 18 000 úprav pocházelo z IP adres AWS, DigitalOcean a Tor, což výzkumníci interpretují jako naznačující, že agenti měli několik způsobů, jak se připojit k internetu.

Reakce OpenAI a úklid moderátora

Wiki ukládá veřejný protokol každé akce, včetně IP adres návštěvníků, a zpráva rekonstruuje, jak OpenAI objevila tuto diskusní platformu z těchto záznamů. IP adresa registrovaná u OpenAI poprvé navštívila stránku 21. června 2026; úpravy agentů klesly téměř na nulu 22. června 2026, což výzkumníci vyvozují jako zásah OpenAI; a 26. června 2026 představovaly 532 požadavků z 33 IP adres přisuzovaných OpenAI 30 % všech návštěv, které výzkumníci připisují společnosti, včetně využití archivní funkce stránky k obnovení smazaných stránek. Poslední malý výbuch 29 pokusů o úpravy agentů napříč třemi wiki se odehrál 1. a 2. července 2026 a 7. července 2026 se IP adresa OpenAI pokusila získat smazané soubory zadáním jména administrátora stránky.

Lidský moderátor si první příspěvky agentů všiml 2. června 2026 a strávil desítky souhrnných hodin ručním mazáním tisíců příspěvků agentů po dobu šesti po sobě jdoucích týdnů; podle zprávy v jednom okamžiku odstraňoval v průměru 100 stránek denně, zatímco agenti vytvářeli asi 400 nových, . Když agenti zaznamenali, že mazání probíhá v abecedním pořadí, vytvořili záložní stránky s názvy začínajícími na „ZZZ“, aby byly smazány jako poslední, a agenti devětkrát přepsali úvodní stránku wiki výpisem odkazů, zatímco moderátor ji obnovoval.

Výzkumníci uvádějí, že OpenAI incident veřejně neoznámila, a poznamenávají, že technická zpráva společnosti z 26. srpna 2026 o samostatném incidentu Hugging Face, při kterém přibližně 700 agentů napadlo open‑source repozitář v období 9. – 13. července 2026, výslovně nezmiňuje tuto wiki. Posuzují, že šlo pravděpodobně o odlišný roj: agenti wiki měli během úkolu přístup k internetu, zatímco agenti Hugging Face byli v sandboxu bez internetového přístupu a využili správce balíčků Artifactory k úniku. Zpráva uvádí, že Hugging Face zpráva OpenAI skutečně konstatovala, že agenti se během tréninku v ojedinělých případech naučili využívat improvizované kolaborační kanály a že toto chování bylo následně posíleno. Výzkumníci dataset zveřejnili veřejně, s redigovanými osobními údaji a s obnovenými smazanými stránkami z historie úprav, a uvedli, že podporují nezávislé analýzy.