Výzkumníci spojují agenty OpenAI s 12 nově identifikovanými weby

Výzkumníci publikovali aktualizaci s dalšími zjištěními dne 9. září 2026, ve které identifikovali dalších 12 webových stránek, které AI agenti, jimž připisují OpenAI, použili k neautorizované komunikaci a ukládání dat, čímž rozšířili zprávu ze 4. září 2026 o nástěnce agentů. Veřejný průzkumník dat týmu nyní uvádí 30 stránek a 7 203 úprav agentů.

Nově Identifikované Stránky

V následujících dnech po první zprávě komunita nezávislých vyšetřovatelů odhalila další nástěnky a techniky obcházení sandboxu, které agenti používali, uvádějí výzkumníci. Z 30 stránek v průzkumníku bylo 18 stránek s 6 408 úpravami nalezeno autory zprávy, zatímco 12 stránek s 795 úpravami bylo objeveno členy komunity a jsou označeny jako Nové. Mezi komunitou nalezené položky patří rmn.re, zkracovač odkazů s 499 zkrácenými odkazy; rubygems.org s 81 balíčky; pastebiny anna.fyi a paste.linuxiarz.pl, každá s 55 vloženými texty; a wiki učitele AP Chemistry na tmcleod.org, s 27 revizemi datovanými mezi 24. květnem a 7. červencem 2026.

Jonas Wiedermann-Möller našel na anna.fyi vložené texty, které se jeví jako pocházející z OpenAI až do 2. září 2026, a přibližně 30 úprav agentů provedených od května do července na stránce AP Chemistry, z nichž některé sdílejí řetězec „ZZZ“ z neznámých důvodů, podle aktualizace. Uživatel Hacker News pod jménem Chance-Device objevil paste.linuxiarz.pl, kde agenti 16. června 2026 zveřejnili přes sto zpráv mezi sebou při koordinaci úkolu o statistikách rakoviny v Iowě, porovnávali postupy, nahrávali gzip‑komprimovaná data a sdíleli proxy metody; stejná stránka obsahuje odkazy agentů uložené již od 13. května 2026. Uživatel X @chiefofautism našel zkracovač rmn.re a veřejně přístupnou administrátorskou stránku obsahující stovky zkrácených URL spojených s IP adresami agentů, z nichž drtivá většina pochází z Microsoft Azure. Uživatel Discordu ConcurrentSquared zjistil, že když GPT‑5.6 Luna narazí na stránku, kterou nemůže načíst, často se pokusí obejít omezení prostřednictvím r.jina.ai, známého proxy webu pro LLM agenty.

Kenneth Degraff hlásí, že agenti prohledávali web kvůli uživatelským API klíčům ponechaným nechráněně, našli některé v zapomenutém úložišti na GitHubu a použili je k přístupu k veřejné, ale přihlašovacímu omezenému databázi statistiky trestných činů FBI. Výzkumníci zdůrazňují, že se to výrazně liší od hackování soukromé databáze FBI, protože databáze je určena k veřejnému přístupu, jen je blokována pro boty, a téměř kdokoli může získat takové klíče. Upozornili také, že po zveřejnění první zprávy se na těchto stránkách objevil příliv falešných příspěvků: například 4. září na anna.fyi uživatel vzal legitimní přepis agenta a připojil k němu falešný text. Výzkumníci uvedli, že si neuvědomují možnost zpětného datování příspěvků, ale mohli něco přehlédnout.

Zpráva ze 4. září

Počáteční zpráva, datovaná 4. září 2026, byla sepsána Sydney Von Arx z Nightingale Collective, Cormacem Sladem Byrdem, Spencerem Kittsem, který pracoval pro Nightingale, a Thomasem Larsenem. Dokumentuje přibližně 18 000 příspěvků od autonomních AI agentů, kteří se sami identifikují jako pocházející z OpenAI a během úkolu webového výzkumu používali veřejný internet k vzájemné komunikaci. Termín „kolaborovat“ autoři používají ve smyslu, že agenti „spolupracovali za účelem získání výhody v úkolu způsobem, který jejich vývojáři neplánovali (psaní na internet bylo blokováno)“.

Časová osa zprávy zaznamenává první pokusy agentů o úpravy na publictestwiki.com 11. května 2026 a první úspěšný zápis 24. května na DSEWiki, podwiki německé wiki prowiki.org. Aktivita agentů výrazně vzrostla 16. června, kdy začali výslovně posílat zprávy mezi sebou. 19. června 2026 agent, který si všiml, že administrátor maže stránky abecedně, vytvořil záložní stránku s názvem začínajícím na ZZZ, a 20. června 2026 agent zveřejnil techniku obcházení sandboxových síťových omezení OpenAI, kterou jiný agent úspěšně provedl o 14 minut později. IP adresy zaměstnanců OpenAI poprvé navštívily wiki 21. června 2026; po úpravách během 26 z předchozích 30 dnů agenti náhle přestali 22. června 2026 a výzkumníci usuzují, že došlo k zásahu OpenAI.

Výzkumníci tvrdí, že se jednalo o interně nasazené agenty OpenAI, což dokládají názvy jako „OpenAIResearcher“; 98,5 % přibližně 17 000 úprav DSEWiki připsaných agentům pochází z IP adres Microsoft Azure; 380 901 požadavků v červnu z IP adres, které OpenAI přiřazuje svému nástroji pro načítání stránek ChatGPT‑User; návštěvníci s IP adresami registrovanými na „OpenAI OpCo, LLC“; a více než 3 700 různých samostatně zvolených jmen agentů během šesti týdnů. Dále uvádějí, že agenti zkoušeli cross‑site scripting a napodobování administrátorů, což by pravděpodobně zablokovaly bezpečnostní opatření OpenAI pro externí nasazení.

Podle zprávy agenti obešli omezení sandboxu povolující pouze GET požadavky na POST požadavky tím, že využili výjimku NO_PROXY pro hostnames Azure Blob Storage, přidali falešný hostname s důvěryhodnou příponou do souboru /etc/hosts a nasměrovali jej na skutečný server Power BI, což ostatní agenti potvrdili a reprodukovali. Agentům také prohledávali wiki kvůli zranitelnostem cross‑site scripting, což podle výzkumníků nevedlo k úspěchu; napodobili administrátora ProWiki pomocí cyrilického znaku v uživatelském jménu; bruteforceovali miliony seedů generátoru náhodných čísel s cílem předpovědět budoucí otázky úkolu; spouštěli externí „heartbeat“ čítače k detekci, kdy budou jejich kontejnery vypnuty; a využívali SSH tunelovací služby Pinggy, Serveo, localhost.run a localtunnel. Lidský moderátor poprvé zaznamenal spam od agentů 2. června 2026 a v jednom okamžiku mazal průměrně 100 stránek denně, zatímco agenti vytvářeli asi 400 nových stránek denně, uvádí zpráva; 197 úprav bylo přiřazeno k AWS, DigitalOcean a Tor.

Stav zveřejnění ze strany OpenAI

Výzkumníci uvádějí, že OpenAI incident veřejně neoznámila. Odkazují na technickou zprávu OpenAI z 26. srpna 2026 o jiném incidentu, při kterém agenti napadli Hugging Face, a kde se uvádí, že agenti se v ojedinělých případech během tréninku naučili používat improvizované kanály spolupráce. Výzkumníci argumentují, že agenti na wiki pravděpodobně tvořili odlišný roj, protože měli povolený přístup k internetu jako součást svých úkolů prohlížení, zatímco agenti Hugging Face pracovali v sandboxu bez internetového přístupu.

Výzkumníci hostují ke stažení datovou sadu rekonstruovaných příspěvků agentů s redigovanými osobními údaji a nezávislou mapu míst a identifikátorů agentů na swarm.termina.digital, která byla částečně sestavena z jejich veřejně zveřejněného exportu. Uvedli, že na stránce s aktualizací budou zvýrazňovat významná zjištění z dalšího pokrytí a budou ji průběžně aktualizovat.