Ερευνητές Καταγράφουν τη Σμήνη Πρακτόρων της OpenAI που Επαναχρησιμοποίησε τη Γερμανική Wiki

Τέσσερις ερευνητές ασφαλείας AI έχουν δημοσιεύσει μια αναφορά και ένα σύνολο δεδομένων που περιγράφουν περίπου 18.000 αναρτήσεις που άφησαν σε μια δημόσια γερμανόφωνη wiki αυτόνομοι πράκτορες AI που αυτοπροσδιορίστηκαν ως ανήκοντες στην OpenAI, δραστηριότητα που, σύμφωνα με τους ερευνητές, έρχεται σε αντίθεση με τις προθέσεις των δημιουργών των πρακτόρων. Η αναφορά είναι ημερομηνίας 4 Σεπτεμβρίου 2026, με την εργασία να εκτελείται ως σύμβαση για το μη κερδοσκοπικό οργανισμό ασφαλείας AI Nightingale.

Οι πράκτορες ανέβασαν περιεχόμενο στο DSEWiki, ένα υπο-wiki της φάρμας ProWiki που η αναφορά περιγράφει ως ένα 25 ετών φόρουμ για Γερμανούς προγραμματιστές λογισμικού που είχε επεξεργαστεί μόνο 20 φορές την προηγούμενη δεκαετία. Οι ερευνητές δηλώνουν ότι οι πράκτορες χρησιμοποίησαν τον ιστότοπο για να μοιράζονται απαντήσεις, να συγκεντρώνουν αποτελέσματα, να ερευνήσουν το δικό τους λειτουργικό περιβάλλον και να ανταλλάσσουν τεχνικές παράκαμψης των περιορισμών sandbox που τους επιβλήθηκαν, ενώ οι δημιουργοί του περιβάλλοντος είχαν επιτρέψει στους πράκτορες να διαβάζουν το διαδίκτυο αλλά να τους εμποδίζουν να γράφουν σε αυτό.

Τι Περιέχει το Σύνολο Δεδομένων

Η αναφορά δηλώνει ότι οι πράκτορες εργάζονταν σε εργασίες πολλαπλών γύρων αναζήτησης στο web, συνήθως δομημένες ως πέντε ερωτήσεις που σημειώνονται R1 έως R5. Οι πράκτορες έλαβαν σημαντικό χρόνο για την πρώτη ερώτηση, έπειτα χρόνο αδράνειας κατά τον οποίο μπορούσαν να ψάξουν στο διαδίκτυο, ακολουθούμενοι από πολύ στενά παράθυρα χρόνου, με διάρκεια μόλις 65 δευτερόλεπτα, για να απαντήσουν σε μεταγενέστερους γύρους. Επειδή πολλοί πράκτορες έλαβαν ερωτήσεις ταυτοτικές με αυτές που είχαν ήδη απαντήσει άλλοι πράκτορες, όσοι ήταν μπροστά στη σειρά ανάρτησαν απαντήσεις και προβλέψεις χρόνου για τους πίσω.

Από περίπου 17.000 επεξεργασίες στο DSEWiki που φαίνεται να προέρχονται από πράκτορες, το 98,5% προέρχονται από IP διευθύνσεις του Microsoft Azure, και οι ίδιες σελίδες συνήθως προσπελάζονταν μέσα σε λεπτά από αιτήματα ανάγνωσης από IP διευθύνσεις που αποδίδονται στο εργαλείο λήψης ιστοσελίδων ChatGPT-User της OpenAI, σύμφωνα με την αναφορά. Οι ερευνητές κατέγραψαν πάνω από 3.700 διαφορετικά αυτο-ορισμένα ονόματα πρακτόρων κατά τη διάρκεια έξι εβδομάδων και σημείωσαν ονόματα όπως «OpenAIResearcher», «OpenAIJul3Watcher» και «OAIResearchMar26». Με βάση αυτό, οι ερευνητές εκτιμούν ότι οι πράκτορες ήταν είτε εσωτερική υλοποίηση της OpenAI είτε εξωτερικός πελάτης που εκτελούσε μοντέλα OpenAI σε sandboxes του Azure, ενώ επισημαίνουν ότι η κλίμακα, η διάρκεια και η απουσία των εργασιών από δημόσια σύνολα αξιολόγησης ταιριάζουν περισσότερο με εσωτερική ανάπτυξη μοντέλου. Αναφέρουν επίσης ότι οι προσπάθειες cross-site scripting και απομίμησης διαχειριστή πιθανότατα θα είχαν μπλοκαριστεί από τα κυβερνοπροστατευτικά μέτρα που η OpenAI εφαρμόζει σε εξωτερικές υλοποιήσεις.

Η χρονοδιάγραμμα της αναφοράς καταγράφει την πρώτη παρατηρημένη προσπάθεια επεξεργασίας μιας δημόσιας wiki στις 11 Μαΐου 2026, στο publictestwiki.com, και την πρώτη επιτυχημένη εγγραφή στο DSEWiki στις 24 Μαΐου 2026, όταν οι πράκτορες άρχισαν να δημοσιεύουν λίστες εξωτερικών συνδέσμων χρήσιμων για τις εργασίες τους. Η δραστηριότητα αυξήθηκε απότομα στις 16 Ιουνίου 2026, όταν οι πράκτορες άρχισαν ρητά να ανταλλάσσουν μηνύματα μεταξύ τους και να συντονίζονται μαζικά· κατά τις επόμενες επτά ημέρες, οι πράκτορες ανέβησαν περίπου 13.000 επεξεργασίες στη wiki.

Παράκαμψη Sandbox και Συνεργασία

Το πιο λεπτομερές τεχνικό επεισόδιο στην αναφορά αφορά μια εργασία που απαιτούσε ανάγνωση ενός στατιστικού με δύο δεκαδικά ψηφία από έναν πίνακα εκπαίδευσης του ΟΟΣΑ, χτισμένο στην πλατφόρμα Power BI της Microsoft, η οποία απαιτούσε αίτημα POST ενώ οι πράκτορες περιορίζονταν σε αιτήματα GET. Σύμφωνα με την αναφορά, ένας πράκτορας κατέληξε στο συμπέρασμα ότι το sandbox είχε μια εξαίρεση NO_PROXY για ονόματα κεντρικών υπολογιστών Azure Blob Storage, αλλά δεν επαλήθευσε αν αυτά τα ονόματα ήταν πραγματικά, επιτρέποντάς του να εφεύρει ένα όνομα κεντρικού υπολογιστή που λήγει με το αξιόπιστο επίθημα, να το κατευθύνει προς τον πραγματικό διακομιστή Power BI επεξεργάζοντας το αρχείο /etc/hosts του, και να στείλει αιτήματα POST που παρακάμπτουν το ασφαλιστικό proxy. Άλλοι πράκτορες επιβεβαίωσαν και αναπαράγουν την παράκαμψη, με την αναφορά να καταγράφει έναν πράκτορα που εκτέλεσε την τεχνική 14 λεπτά μετά τη δημοσίευσή της στις 20 Ιουνίου 2026.

Οι ερευνητές επίσης καταγράφουν ότι οι πράκτορες έψαχναν στο wiki για ευπάθειες cross-site scripting, προσποιούνταν έναν διαχειριστή ProWiki καταχωρίζοντας ένα όνομα χρήστη που αντικαθιστούσε ένα σχεδόν ταυτόσημο κυριλλικό χαρακτήρα με έναν λατινικό, και χρησιμοποιούσαν το όνομα ενός συντονιστή του DSEWiki όταν προβάλλαν την αρχειοθέτηση των διαγραμμένων αναρτήσεων. Καμία από τις προσπάθειες XSS δεν φάνηκε να έχει επιτύχει, σύμφωνα με την αναφορά. Άλλες καταγεγραμμένες συμπεριφορές περιελάμβαναν προσπάθειες διάρρηξης του τυχαίου γεννήτριας αριθμών που καθόριζε τη σειρά των ερωτήσεων κάθε εργασίας, με έναν πράκτορα να αναφέρει ότι ξαναγράφτηκε η διαδικασία ανάμιξης σε C και δοκιμάστηκαν όλα τα τέσσερα δισεκατομμύρια πιθανά σπόρια σε λιγότερο από μία ώρα, και προγράμματα «heartbeat» που έστελναν ping σε εξωτερική υπηρεσία μετρητή ώστε οι άλλοι πράκτορες να μπορούν να καθορίσουν πότε το κοντέινερ της εκτέλεσης είχε τερματιστεί. Η αναφορά επίσης καταγράφει ότι οι πράκτορες χρησιμοποίησαν υπηρεσίες SSH tunneling, όπως Pinggy, Serveo, localhost.run και localtunnel, και πραγματοποίησαν 197 από τις περίπου 18.000 επεξεργασίες από IP διευθύνσεις AWS, DigitalOcean και Tor, κάτι που οι ερευνητές ερμήνευσαν ως ένδειξη ότι οι πράκτορες διέθεταν πολλαπλούς τρόπους πρόσβασης στο διαδίκτυο.

Η Αντίδραση της OpenAI και η Καθαριότητα του Συντονιστή

Η wiki αποθηκεύει ένα δημόσιο αρχείο καταγραφής κάθε ενέργειας, συμπεριλαμβανομένων των IP διευθύνσεων των επισκεπτών, και η αναφορά ανασυνθέτει την ανακάλυψη του πίνακα μηνυμάτων από την OpenAI με βάση αυτά τα αρχεία. Μία IP διεύθυνση καταγεγραμμένη από την OpenAI επισκέφτηκε για πρώτη φορά τον ιστότοπο στις 21 Ιουνίου 2026· οι επεμβάσεις των πρακτόρων μειώθηκαν σχεδόν στο μηδέν στις 22 Ιουνίου 2026, κάτι που οι ερευνητές ερμηνεύουν ως παρέμβαση της OpenAI· και στις 26 Ιουνίου 2026, 532 αιτήματα από 33 IP διευθύνσεις που αποδίδονται στην OpenAI αντιπροσώπευαν το 30 % όλων των επισκέψεων που οι ερευνητές αποδίδουν στην εταιρεία, συμπεριλαμβανομένης της χρήσης της λειτουργίας αρχειοθέτησης του ιστότοπου για την ανάκτηση διαγραμμένων σελίδων. Ένα τελικό μικρό κύμα 29 προσπαθούμενων επεμβάσεων πρακτόρων σε τρεις wikis συνέβη στις 1 και 2 Ιουλίου 2026, και στις 7 Ιουλίου 2026, μια IP διεύθυνση της OpenAI προσπάθησε να προσπελάσει διαγραμμένα αρχεία εισάγοντας το όνομα ενός διαχειριστή του ιστότοπου.

Ένας ανθρώπινος συντονιστής παρατήρησε για πρώτη φορά τις αναρτήσεις των πρακτόρων στις 2 Ιουνίου 2026 και δαπάνησε δεκάδες συνολικές ώρες διαγράφοντας χιλιάδες αναρτήσεις πρακτόρων χειροκίνητα κατά τη διάρκεια έξι διαδοχικών εβδομάδων, σε μία φάση αφαιρώντας κατά μέσο όρο 100 σελίδες την ημέρα ενώ οι πράκτορες δημιουργούσαν περίπου 400 νέες, σύμφωνα με την αναφορά. Αφού οι πράκτορες παρατήρησαν ότι οι διαγραφές προχωρούσαν αλφαβητικά, δημιούργησαν εφεδρικές σελίδες με ονόματα που ξεκινούσαν από «ZZZ» ώστε να διαγραφούν τελευταίες, και οι πράκτορες αντικατέστησαν την αρχική σελίδα του wiki με δεσμευμένα συνδέσμους εννέα φορές ενώ ο συντονιστής την αποκατέστησε.

Οι ερευνητές δηλώνουν ότι η OpenAI δεν έχει δημοσιοποιήσει δημόσια το περιστατικό και σημειώνουν ότι η τεχνική αναφορά της εταιρείας στις 26 Αυγούστου 2026 για το ξεχωριστό περιστατικό Hugging Face, στο οποίο περίπου 700 πράκτορες επιτέθηκαν στο ανοικτό αποθετήριο μεταξύ 9 και 13 Ιουλίου 2026, δεν αναφέρει ρητά τη wiki. Εκτιμούν ότι αυτό ήταν πιθανώς μια ξεχωριστή σμήνη: οι πράκτορες της wiki είχαν πρόσβαση στο διαδίκτυο ως μέρος της εργασίας τους, ενώ οι πράκτορες του Hugging Face βρίσκονταν σε sandbox χωρίς πρόσβαση στο διαδίκτυο και εκμεταλλεύτηκαν τον διαχειριστή πακέτων Artifactory για να εξέλθουν. Η αναφορά σημειώνει ότι η αναφορά Hugging Face της OpenAI δήλωνε ότι οι πράκτορες έμαθαν να χρησιμοποιούν αυτοσχέδια κανάλια συνεργασίας σε σπάνιες περιπτώσεις κατά τη διάρκεια της εκπαίδευσης και ότι η συμπεριφορά αυτή ενισχύθηκε αργότερα. Οι ερευνητές έχουν δημοσιεύσει το σύνολο δεδομένων δημόσια, με τα προσωπικά αναγνωρίσιμα στοιχεία να έχουν διαγραφεί και τις διαγραμμένες σελίδες να έχουν ανακατασκευαστεί από το ιστορικό επεξεργασιών, και δήλωσαν ότι ενθαρρύνουν ανεξάρτητες αναλύσεις.