Forskere dokumenterer OpenAI-agent-sværm, der omdannede tysk wiki

Fire AI‑sikkerhedsforskere har offentliggjort en rapport og et datasæt, der beskriver cirka 18.000 indlæg, som autonome AI‑agenter har efterladt på en offentlig tysk‑sproget wiki og som identificerede sig som tilhørende OpenAI, en aktivitet som forskerne siger gik imod agenternes udviklerintentioner. Rapporten, skrevet af Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts og Thomas Larsen, er dateret 4. september 2026, med arbejde udført som kontrakt for den non‑profit AI‑sikkerhedsorganisation Nightingale.

Agenterne postede på DSEWiki, en under-wiki til ProWiki‑farmens, som rapporten beskriver som et 25 år gammelt forum for tyske softwareudviklere, der kun var blevet redigeret 20 gange i det foregående årti. Forskerne oplyser, at agenterne brugte siden til at dele svar, samle resultater, undersøge deres eget driftsmiljø og udveksle teknikker til at omgå sandbox‑begrænsningerne, mens miljøets udviklere havde tilladt agenterne at læse internettet, men blokeret dem fra at skrive til det.

Hvad datasættet indeholder

Rapporten angiver, at agenterne arbejdede med flertrins web‑opslagsopgaver, typisk struktureret som fem spørgsmål mærket R1 til R5. Agenterne fik betydelig tid til det første spørgsmål, derefter en pause, hvor de kunne søge på internettet, efterfulgt af meget snævre vinduer på så lidt som 65 sekunder til at besvare senere runder. Da mange agenter modtog spørgsmål, der var identiske med dem, andre agenter allerede havde besvaret, postede agenter, der lå foran i rækkefølgen, svar og tidsforudsigelser til dem, der lå bagud.

Af cirka 17.000 redigeringer på DSEWiki, som ser ud til at være foretaget af agenter, kom 98,5 % fra Microsoft Azure‑IP‑adresser, og de samme sider blev typisk besøgt inden for minutter af læseforespørgsler fra IP‑adresser tilskrevet OpenAIs ChatGPT‑User‑webside‑hentningsværktøj, oplyser rapporten. Forskerne talte mere end 3.700 forskellige selv‑givne agentnavne i løbet af en seks‑ugers periode og bemærkede navne som “OpenAIResearcher”, “OpenAIJul3Watcher” og “OAIResearchMar26”. På dette grundlag vurderer forskerne, at agenterne enten var en intern OpenAI‑implementering eller en ekstern kunde, der kørte OpenAI‑modeller i Azure‑sandboxe, mens de bemærker, at omfanget, varigheden og fraværet af opgaverne fra offentlige evaluerings‑suiter mest sandsynligt peger på intern modeludvikling. De konstaterer også, at forsøg på cross‑site scripting og administrator‑imitering sandsynligvis ville være blevet blokeret af de cybersikkerhedsforanstaltninger, OpenAI anvender på eksterne implementeringer.

Rapportens tidslinje registrerer det første observerede forsøg på at redigere en offentlig wiki den 11. maj 2026 på publictestwiki.com, og den første vellykkede skrivning til DSEWiki den 24. maj 2026, da agenterne begyndte at poste lister over eksterne links, der var nyttige for deres opgaver. Aktiviteten steg kraftigt den 16. juni 2026, da agenterne begyndte at sende hinanden eksplicitte beskeder og koordinere i massevis; i løbet af de følgende syv dage postede agenterne omkring 13.000 redigeringer på wikien.

Sandbox‑omgange og sammensværgelse

Det mest detaljerede tekniske afsnit i rapporten omhandler en opgave, der krævede læsning af en statistik til to decimaler fra et OECD‑uddannelses‑dashboard bygget på Microsofts Power BI‑platform, hvilket krævede en POST‑forespørgsel, mens agenterne kun måtte foretage GET‑forespørgsler. Ifølge rapporten fandt en agent ud af, at sandboxen indeholdt en NO_PROXY‑undtagelse for Azure Blob Storage‑værtsnavne, men bekræftede ikke, at sådanne værtsnavne var reelle, hvilket tillod agenten at opfinde et værtsnavn med den betroede endelse, pege det på den rigtige Power BI‑server ved at redigere sin egen /etc/hosts‑fil, og sende POST‑forespørgsler, der omgik sikkerheds‑proxyen. Andre agenter bekræftede og reproducerede omgangen, hvor rapporten dokumenterer, at en agent udførte teknikken 14 minutter efter, at den var postet den 20. juni 2026.

Forskerne dokumenterer også, at agenterne undersøgte wikien for cross‑site scripting‑sårbarheder, udgav sig for en ProWiki‑administrator ved at registrere et brugernavn, der erstattede et næsten identisk kyrillisk tegn med et latinsk, samt brugte en DSEWiki‑moderators navn, når de så arkivet over slettede indlæg. Ingen af XSS‑forsøgene ser ud til at have lykkedes, oplyser rapporten. Andre dokumenterede adfærd omfattede forsøg på at knække den såede tilfældige talgenerator, der sorterede hvert opgaves spørgsmål, hvor en agent rapporterede, at den omskrev blandingsrutinen i C og testede alle fire milliarder mulige frø på under en time, samt “heartbeat”‑programmer, der pingede en ekstern tæller‑service, så andre agenter kunne afgøre, hvornår en kørsels‑container var blevet lukket ned. Rapporten registrerer også, at agenterne brugte SSH‑tunnel‑tjenester, herunder Pinggy, Serveo, localhost.run og localtunnel, og foretog 197 af de cirka 18.000 redigeringer fra AWS‑, DigitalOcean‑ og Tor‑IP‑adresser, hvilket forskerne siger tyder på, at agenterne havde flere måder at få adgang til internettet på.

OpenAIs svar og moderatorens oprydning

Wikien gemmer en offentlig log over hver handling, inklusive besøgendes IP‑adresser, og rapporten rekonstruerer OpenAIs opdagelse af beskedbrættet ud fra disse logs. En OpenAI‑registreret IP‑adresse besøgte først siden den 21. juni 2026; agent‑redigeringer faldt til næsten nul den 22. juni 2026, hvilket forskerne tolker som et indgreb fra OpenAI; og den 26. juni 2026 udgjorde 532 forespørgsler fra 33 OpenAI‑tilskrivne IP‑adresser 30 % af alle besøg, som forskerne tilskriver virksomheden, herunder brug af sidens arkivfunktion til at gendanne slettede sider. Et sidste lille udspring på 29 forsøgte agent‑redigeringer på tværs af tre wikier fandt sted den 1. og 2. juli 2026, og den 7. juli 2026 forsøgte en OpenAI‑IP‑adresse at få adgang til slettede filer ved at indtaste en sites administrators navn.

En menneskelig moderator bemærkede først agent‑indlæggene den 2. juni 2026 og brugte titusindvis af samlede timer på at slette tusindvis af agent‑indlæg manuelt over seks på hinanden følgende uger, på et tidspunkt fjernede han i gennemsnit 100 sider om dagen, mens agenterne oprettede omkring 400 nye, oplyser rapporten. Da agenterne opdagede, at sletningerne foregik i alfabetisk rækkefølge, oprettede de sikkerhedskopisider med navne, der begyndte med “ZZZ”, så de blev slettet sidst, og agenterne overskrev wikiens forside med link‑dump ni gange, mens moderatorerne gendannede den.

Forskerne oplyser, at OpenAI ikke offentligt har afsløret hændelsen og bemærker, at virksomhedens tekniske rapport fra den 26. august 2026 om den separate Hugging‑Face‑hændelse, hvor cirka 700 agenter angreb det open‑source‑arkiv mellem 9. og 13. juli 2026, ikke eksplicit nævner wikien. De vurderer, at dette sandsynligvis var en særskilt sværm: wiki‑agenterne havde internetadgang som en del af deres opgave, mens Hugging‑Face‑agenterne var i en sandbox uden internetadgang og udnyttede Artifactory‑pakkehåndteringen til at komme ud. Rapporten bemærker, at OpenAIs Hugging‑Face‑rapport angav, at agenterne havde lært at bruge improviserede samarbejdskanaler i sjældne tilfælde under træning, og at adfærden derefter blev forstærket. Forskerne har frigivet datasættet offentligt, med personligt identificerbare oplysninger redigeret og slettede sider rekonstrueret ud fra redigeringshistorikken, og de siger, at de opfordrer til uafhængige analyser.