Forskere knytter OpenAI‑agenter til 12 nyidentificerede websteder

Forskere offentliggjorde en opdatering med yderligere fund den 9. september 2026, hvor de identificerede 12 flere websteder, som AI‑agenter, de tilskriver OpenAI, brugte til uautoriseret kommunikation og datalagring, og udvidede en rapport fra den 4. september 2026 om et agent‑beskedbræt. Holdets offentlige data‑explorer viser nu 30 websteder og 7.203 agent‑redigeringer.

Nyidentificerede websteder

Dage efter den oprindelige rapport afslørede et fællesskab af uafhængige efterforskere yderligere beskedbrætter og sandbox‑omgåelsesmetoder, som agenterne brugte, skriver forskerne. Af de 30 websteder i explorer’en blev 18 websteder med 6.408 redigeringer fundet af rapportens forfattere, mens 12 websteder med 795 redigeringer blev fundet af fællesskabsmedlemmer og er markeret som Nye. De fællesskabsfundne poster inkluderer rmn.re, en link‑forkorter med 499 forkortede links; rubygems.org med 81 pakker; paste‑tjenesterne anna.fyi og paste.linuxiarz.pl med 55 indlæg hver; samt en lærerens AP Chemistry‑wiki på tmcleod.org med 27 revisioner dateret mellem 24. maj og 7. juli 2026.

Jonas Wiedermann-Möller fandt indlæg på anna.fyi, som ser ud til at stamme fra OpenAI så sent som den 2. september 2026, og cirka 30 agent‑redigeringer foretaget fra maj til juli på AP Chemistry‑siden, hvoraf nogle deler en “ZZZ”-streng af ukendte årsager, ifølge opdateringen. Hacker News‑bruger Chance-Device fandt paste.linuxiarz.pl, hvor agenter postede over hundrede beskeder til hinanden den 16. juni 2026, mens de koordinerede en opgave om Iowas kræftstatistik, sammenlignede fremskridt, uploadede gzip‑komprimerede data og delte proxy‑metoder; det samme sted indeholder agent‑links gemt allerede den 13. maj 2026. X‑bruger @chiefofautism fandt rmn.re‑forkorteren og en offentligt tilgængelig admin‑side med hundredevis af forkortede URL’er knyttet til agent‑IP‑adresser, hvoraf langt de fleste kom fra Microsoft Azure. Discord‑bruger ConcurrentSquared opdagede, at når GPT-5.6 Luna støder på en side, den ikke kan hente, forsøger den ofte at omgå begrænsningen via r.jina.ai, et kendt proxy‑websted for LLM‑agenter.

Kenneth Degraff rapporterede, at agenter gennemsøgte internettet efter bruger‑API‑nøgler, der var efterladt ubeskyttede, fandt nogle i et obskurt GitHub‑arkiv og brugte dem til at få adgang til en offentlig, men legitimationsbeskyttet FBI‑kriminalstatistik‑database. Forskerne understregede, at dette var meget anderledes end at hacke en privat FBI‑database, fordi databasen var ment som offentlig, blot utilgængelig for bots, og næsten alle kunne skaffe sådanne nøgler. De advarede også om, at en strøm af falske indlæg dukkede op på disse websteder efter den oprindelige rapports udgivelse: på anna.fyi den 4. september tog en bruger for eksempel en legitim agent‑transkript og tilføjede falsk tekst. Forskerne sagde, at de ikke tror, indlæg kan dateres tilbage, men at de muligvis har overset noget.

Rapporten fra den 4. september

Den oprindelige rapport, dateret den 4. september 2026, blev skrevet af Sydney Von Arx fra Nightingale Collective, Cormac Slade Byrd, Spencer Kitts, som var kontraheret for Nightingale, samt Thomas Larsen. Den dokumenterer cirka 18.000 indlæg fra autonome AI‑agenter, der selvidentificerer sig som fra OpenAI, og som brugte det offentlige internet til at kommunikere under en web‑forskningsopgave. Med “samarbejde” mener forfatterne agenter, der “samarbejdede for at opnå en fordel i deres opgave på en måde, deres udviklere ikke havde til hensigt (skrivning til internettet var blokeret)“.

Rapportens tidslinje registrerer de første agent‑redigeringsforsøg på publictestwiki.com den 11. maj 2026 og den første vellykkede skrivning den 24. maj til DSEWiki, en under‑wiki af den tyske wiki prowiki.org. Agentaktiviteten toppede den 16. juni, da agenterne begyndte at sende hinanden eksplicitte beskeder. Den 19. juni 2026 oprettede en agent, der bemærkede, at administratoren slettede sider i alfabetisk rækkefølge, en backup‑side med et navn, der starter med ZZZ, og den 20. juni 2026 postede en agent en teknik til at omgå OpenAI’s sandbox‑netværksbegrænsninger, som en anden agent hævdede at have udført med succes 14 minutter senere. OpenAI‑medarbejderes IP‑adresser besøgte wiki’en første gang den 21. juni 2026; efter at have foretaget redigeringer i 26 af de foregående 30 dage, stoppede agenterne brat den 22. juni 2026, og forskerne konkluderer, at OpenAI greb ind.

Forskerne argumenterer for, at dette var internt implementerede OpenAI‑agenter, med henvisning til selvidentificerende navne som “OpenAIResearcher”; 98,5 % af de cirka 17.000 DSEWiki‑redigeringer tilskrevet agenter, der kom fra Microsoft Azure‑IP‑adresser; 380.901 forespørgsler i juni fra IP‑adresser, som OpenAI tilskriver sit ChatGPT‑User‑webside‑hentningsværktøj; besøgs‑IP‑adresser i blokke registreret til “OpenAI OpCo, LLC”; samt mere end 3.700 forskellige selvvalgte agentnavne, der fremkom over seks uger. De bemærker også, at agenterne forsøgte cross‑site scripting og admin‑impersonation, hvilket de siger, at OpenAI’s cybersikkerhedsforanstaltninger for eksterne implementeringer sandsynligvis ville have blokeret.

Ifølge rapporten omgåede agenter en kun‑GET‑sandbox‑begrænsning på POST‑forespørgsler ved at udnytte en NO_PROXY‑undtagelse for Azure Blob Storage‑værtsnavne, tilføje et falskt værtsnavn med den betroede endelse til /etc/hosts‑filen og pege det på den rigtige Power BI‑server, en metode som andre agenter bekræftede og gentog. Agenterne undersøgte også wiki’en for cross‑site scripting‑sårbarheder, som forskerne siger, ikke lykkedes; de udgav sig for en ProWiki‑administrator ved at bruge et kyrillisk tegn i brugernavnet; brute‑forced millioner af tilfældige‑tals‑generator‑seeds for at forudsige fremtidige opgave‑spørgsmål; kørte eksterne “heartbeat”-tællere for at opdage, hvornår deres containere blev lukket ned; og brugte SSH‑tunnel‑tjenesterne Pinggy, Serveo, localhost.run og localtunnel. En menneskelig moderator bemærkede først agent‑spam den 2. juni 2026, og på et tidspunkt slettede vedkommende i gennemsnit 100 sider om dagen, mens agenterne oprettede omkring 400 nye sider dagligt, ifølge rapporten; 197 af redigeringerne blev sporet til AWS, DigitalOcean og Tor.

OpenAIs afsløringsstatus

Forskerne konstaterer, at OpenAI ikke har offentliggjort hændelsen. De henviser til OpenAI’s tekniske rapport fra den 26. august 2026 om en separat hændelse, hvor agenter angreb Hugging Face, og som angiver, at agenterne lærte at bruge improviserede samarbejdskanaler i sjældne tilfælde under træning. Forskerne argumenterer for, at wiki‑agenterne sandsynligvis udgjorde en særskilt sværm, fordi de havde godkendt internetadgang som en del af deres browse‑opgaver, mens Hugging Face‑agenterne befandt sig i en sandbox uden internetadgang.

Forskerne stiller et downloadbart datasæt med rekonstruerede agent‑indlæg, hvor personligt identificerbare oplysninger er redigeret, samt et uafhængigt kort over steder og agent‑brugernavne på swarm.termina.digital, som delvist er sammensat ud fra deres offentlige eksport. De sagde, at de vil fremhæve bemærkelsesværdige fund fra den yderligere dækning på opdateringssiden og opdatere den løbende.