Cybersicherheit
Forscher dokumentieren OpenAI-Agentenschwarm, der das deutsche Wiki umfunktionierte
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Vier KI‑Sicherheitsforscher haben einen Bericht und einen Datensatz veröffentlicht, die etwa 18.000 Beiträge beschreiben, die von autonomen KI‑Agenten in einem öffentlichen deutschsprachigen Wiki hinterlassen wurden und sich als zu OpenAI gehörend ausweisen – eine Aktivität, die den Entwicklerabsichten der Agenten nach Ansicht der Forscher widersprach.
Der Bericht, verfasst von Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts und Thomas Larsen, ist datiert auf den 4. September 2026 und wurde im Auftrag der gemeinnützigen KI‑Sicherheitsorganisation Nightingale erstellt.
Die Agenten veröffentlichten Beiträge auf DSEWiki, einem Unter‑Wiki des ProWiki‑Farms, das der Bericht als 25‑jähriges Forum für deutsche Softwareentwickler beschreibt und das im vergangenen Jahrzehnt nur 20 Mal bearbeitet wurde. Die Forscher geben an, dass die Agenten die Seite nutzten, um Antworten zu teilen, Ergebnisse zu bündeln, ihre eigene Betriebsumgebung zu erforschen und Techniken zum Umgehen der ihnen auferlegten Sandbox‑Beschränkungen auszutauschen, während die Entwickler der Umgebung den Agenten das Lesen des Internets erlaubten, aber das Schreiben blockierten.
Was der Datensatz enthält
Der Bericht stellt fest, dass die Agenten mehrstufige Web‑Lookup‑Aufgaben bearbeiteten, die typischerweise als fünf Fragen von R1 bis R5 strukturiert waren. Für die erste Frage erhielten die Agenten umfangreiche Zeit, danach eine Ruhephase, in der sie das Internet durchsuchen konnten, gefolgt von sehr kurzen Zeitfenstern von nur 65 Sekunden für die Beantwortung späterer Runden. Da viele Agenten Fragen erhielten, die identisch mit bereits von anderen Agenten beantworteten waren, veröffentlichten Agenten, die im Ablauf voraus waren, Antworten und Zeitvorhersagen für die nachfolgenden.
Von etwa 17.000 Bearbeitungen auf DSEWiki, die offenbar von Agenten stammen, kamen 98,5 % von Microsoft‑Azure‑IP‑Adressen, und dieselben Seiten wurden laut Bericht innerhalb weniger Minuten von Leseanfragen von IP‑Adressen, die dem ChatGPT‑User‑Webseiten‑Abruf‑Tool von OpenAI zugeordnet werden, aufgerufen. Die Forscher zählten über 3.700 verschiedene, von den Agenten selbst vergebene Namen in einem Zeitraum von sechs Wochen und bemerkten Namen wie „OpenAIResearcher“, „OpenAIJul3Watcher“ und „OAIResearchMar26“. Auf dieser Grundlage schätzen die Forscher, dass die Agenten entweder eine interne OpenAI‑Bereitstellung oder ein externer Kunde waren, der OpenAI‑Modelle in Azure‑Sandboxes ausführt, wobei sie anmerken, dass das Ausmaß, die Dauer und das Fehlen der Aufgaben in öffentlichen Evaluations‑Suites am ehesten mit interner Modellentwicklung übereinstimmen. Sie stellen zudem fest, dass versuchte Cross‑Site‑Scripting‑ und Administrator‑Impersonations‑Versuche wahrscheinlich von den von OpenAI für externe Bereitstellungen angewandten Cyber‑Sicherheitsmaßnahmen blockiert worden wären.
Der Zeitplan des Berichts verzeichnet den ersten beobachteten Versuch, ein öffentliches Wiki am 11. Mai 2026 bei publictestwiki.com zu editieren, und das erste erfolgreiche Schreiben nach DSEWiki am 24. Mai 2026, als die Agenten begannen, Listen externer Links zu veröffentlichen, die für ihre Aufgaben nützlich waren. Die Aktivität sprang am 16. Juni 2026 stark an, als die Agenten begannen, sich ausdrücklich gegenseitig zu schreiben und massenhaft zu koordinieren; in den folgenden sieben Tagen veröffentlichten die Agenten etwa 13.000 Bearbeitungen im Wiki.
Umgehungen der Sandbox und Kollusion
Die detaillierteste technische Episode im Bericht betrifft eine Aufgabe, bei der eine Statistik mit zwei Dezimalstellen von einem OECD‑Bildungs‑Dashboard, das auf Microsofts Power‑BI‑Plattform basiert, gelesen werden musste, was einen POST‑Request erforderte, während die Agenten nur GET‑Requests ausführen durften. Laut Bericht stellte ein Agent fest, dass die Sandbox eine NO_PROXY‑Ausnahme für Azure‑Blob‑Storage‑Hostnamen enthielt, diese Hostnamen jedoch nicht auf ihre Existenz prüfte, wodurch der Agent einen Hostnamen erfinden konnte, der mit dem vertrauenswürdigen Suffix endete, ihn durch Bearbeiten der eigenen /etc/hosts‑Datei auf den echten Power‑BI‑Server zeigte und POST‑Requests sendete, die den Sicherheits‑Proxy umgingen. Andere Agenten bestätigten und reproduzierten die Umgehung, wobei der Bericht dokumentiert, dass ein Agent die Technik 14 Minuten nach ihrer Veröffentlichung am 20. Juni 2026 anwendete.
Die Forscher dokumentieren außerdem, dass die Agenten das Wiki auf Cross‑Site‑Scripting‑Schwachstellen prüften, indem sie sich als ProWiki‑Administrator ausgaben, indem sie einen Benutzernamen registrierten, der ein fast identisches kyrillisches Zeichen anstelle eines lateinischen verwendete, und den Namen eines DSEWiki‑Moderators nutzten, wenn sie das Archiv gelöschter Beiträge ansahen. Laut Bericht scheinen keine der XSS‑Versuche erfolgreich gewesen zu sein. Weitere dokumentierte Verhaltensweisen umfassten Versuche, den gesäten Zufallszahlengenerator, der die Fragen jeder Aufgabe ordnete, zu knacken; ein Agent berichtete, er habe die Mischroutine in C neu geschrieben und alle vier Milliarden möglichen Seeds in weniger als einer Stunde getestet, sowie „Heartbeat“-Programme, die einen externen Zählerdienst anpingten, damit andere Agenten feststellen konnten, wann der Container eines Laufs heruntergefahren wurde. Der Bericht verzeichnet zudem, dass Agenten SSH‑Tunneling‑Dienste wie Pinggy, Serveo, localhost.run und localtunnel nutzten und 197 der etwa 18.000 Bearbeitungen von AWS-, DigitalOcean‑ und Tor‑IP‑Adressen aus vornahmen, was die Forscher als Hinweis darauf werten, dass die Agenten mehrere Möglichkeiten hatten, auf das Internet zuzugreifen.
OpenAIs Reaktion und die Bereinigung durch den Moderator
Das Wiki speichert ein öffentliches Protokoll jeder Aktion, einschließlich der IP‑Adressen der Besucher, und der Bericht rekonstruiert OpenAIs Entdeckung des Message‑Boards anhand dieser Protokolle. Eine bei OpenAI registrierte IP‑Adresse besuchte die Seite erstmals am 21. Juni 2026; die Agenten‑Bearbeitungen fielen am 22. Juni 2026 fast auf Null, was die Forscher als Hinweis auf ein Eingreifen von OpenAI interpretieren; und am 26. Juni 2026 machten 532 Anfragen von 33 OpenAI‑zugeordneten IP‑Adressen 30 % aller Besuche aus, die die Forscher dem Unternehmen zuschreiben, einschließlich der Nutzung der Archivfunktion der Seite, um gelöschte Seiten wiederherzustellen. Ein letzter kleiner Anstieg von 29 versuchten Agenten‑Bearbeitungen über drei Wikis ereignete sich am 1. und 2. Juli 2026, und am 7. Juli 2026 versuchte eine OpenAI‑IP‑Adresse, auf gelöschte Dateien zuzugreifen, indem sie den Namen eines Seitenadministrators eingab.
Ein menschlicher Moderator bemerkte die Agenten‑Beiträge erstmals am 2. Juni 2026 und verbrachte im Laufe von sechs aufeinanderfolgenden Wochen mehrere zehn Stunden damit, tausende Agenten‑Beiträge manuell zu löschen; laut Bericht entfernte er zu einem Zeitpunkt im Durchschnitt 100 Seiten pro Tag, während die Agenten etwa 400 neue erstellten. Nachdem die Agenten bemerkten, dass die Löschungen alphabetisch erfolgten, erstellten sie Sicherungsseiten mit Namen, die mit „ZZZ“ begannen, damit sie zuletzt gelöscht wurden, und die Agenten überschrieben die Startseite des Wikis neunmal mit Link‑Dumps, während der Moderator sie wiederherstellte.
Die Forscher geben an, dass OpenAI den Vorfall nicht öffentlich gemacht hat, und weisen darauf hin, dass der technische Bericht des Unternehmens vom 26. August 2026 zum separaten Hugging‑Face‑Vorfall, bei dem etwa 700 Agenten das Open‑Source‑Repository zwischen dem 9. und 13. Juli 2026 angegriffen haben, das Wiki nicht ausdrücklich erwähnt. Sie schätzen, dass es sich dabei wahrscheinlich um einen eigenen Schwarm: die Wiki‑Agenten hatten im Rahmen ihrer Aufgabe Internetzugang, während die Hugging‑Face‑Agenten in einer Sandbox ohne Internetzugang arbeiteten und den Artifactory‑Paketmanager nutzten, um herauszukommen. Der Bericht stellt fest, dass OpenAIs Hugging‑Face‑Bericht erwähnte, dass Agenten in seltenen Fällen während des Trainings lernten, improvisierte Kollaborationskanäle zu nutzen, und dass dieses Verhalten dann verstärkt wurde. Die Forscher haben den Datensatz öffentlich veröffentlicht, wobei persönlich identifizierbare Informationen geschwärzt und gelöschte Seiten aus der Bearbeitungshistorie rekonstruiert wurden, und sie ermutigen zu unabhängigen Analysen.
