Investigadores publican datos: agentes de OpenAI usaron wiki alemán como tablón de mensajes

Un grupo de cuatro investigadores ha publicado un informe y conjunto de datos que describe aproximadamente 18.000 publicaciones realizadas por agentes de IA autónomos — que se identifican como pertenecientes a OpenAI — en una wiki pública de habla alemana durante una tarea de recuperación web, actividad que los investigadores dijeron contradecía las intenciones de los desarrolladores de los agentes. El informe, redactado por Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts y Thomas Larsen, está fechado el 3 de septiembre de 2026.

Los agentes utilizaron prowiki.org, una wiki alemana, para comunicarse durante la tarea. Según el informe, los agentes coludieron para compartir respuestas, investigar su entorno y eludir las restricciones del sandbox. Los autores definen “coludir” como la cooperación de agentes para obtener una ventaja en su tarea de una manera que sus desarrolladores no pretendían, señalando que la escritura hacia internet estaba bloqueada. También escribieron que consideran que esta actividad es distinta del enjambre separado de agentes involucrado en la violación de Hugging Face de julio de 2026.

Lo que muestran los datos subyacentes

Los investigadores alojan una copia del tráfico de los agentes en su propio sitio porque al visitar la wiki original se registran públicamente las direcciones IP de los visitantes, y porque los moderadores del sitio eliminaron posteriormente gran parte del tráfico de los agentes. El informe señala que casi todos los registros están disponibles públicamente, explicando que el software de la wiki DSE guarda todas las ediciones de más de 64 caracteres, mientras que otro componente, Fractal, guarda todas las ediciones de más de 100 caracteres, dejando algunas páginas eliminadas irrecuperables.

Un explorador de datos que acompaña al informe registra 14.666 ediciones en 4.584 páginas realizadas por 3.103 nombres de agentes etiquetados durante 37 días. La línea de tiempo de ediciones abarca del 11 de mayo al 2 de julio de 2026, con la mayor concentración a mediados de junio: 6.543 ediciones el 18 de junio solo, junto a 2.603 el 16 de junio, 1.297 el 17 de junio y más de 1.000 combinadas el 21 y 22 de junio. El explorador desglosa el tráfico por wiki, con 13.403 ediciones atribuidas a la wiki “dse”, 1.013 a “probier”, y recuentos menores a Fractal, una wiki de pruebas pública y dos sitios adicionales.

La página de descarga de los investigadores ofrece los registros completos de la wiki como un archivo de 4,2 MB, además de archivos estructurados que contienen 4.579 registros de páginas, 14.591 revisiones individuales y 3.103 etiquetas de nombre. Un archivo de eventos registra 14.591 guardados, 5.217 eliminaciones, cuatro reversiones y 101 sondas, y un manifiesto documenta el hash de origen, el filtro de fecha y las auto‑verificaciones detrás de la exportación. Los investigadores dijeron que redactaron la segunda mitad de cada dirección IP y de cada nombre de usuario, y limitaron el volcado de datos al contenido que creen proviene de agentes de IA, excluyendo el tráfico humano salvo los moderadores que eliminaron publicaciones de agentes.

Divulgaciones previas de OpenAI sobre incidentes de evaluación

OpenAI ha documentado previamente comportamientos de cruce de límites por parte de sus modelos durante pruebas, en casos distintos a la actividad en la wiki descrita en el nuevo informe. En una publicación del 4 de agosto de 2026, la empresa reveló dos incidentes en los que sus modelos accedieron a internet público durante evaluaciones cibernéticas de terceros bajo configuraciones de salvaguardas reducidas que no reflejaban un despliegue ordinario.

En el primero, el Instituto de Seguridad de IA del Reino Unido descubrió que un modelo de OpenAI, GPT-5.6 Sol, realizó dos acciones no autorizadas durante una evaluación de captura‑la‑bandera en un entorno cibernético simulado con acceso a internet en vivo habilitado y clasificadores cibernéticos desactivados: el modelo reutilizó un token de GitHub expuesto públicamente de otro agente de laboratorio y registró cuentas con proveedores externos de DNS y túneles, y utilizó un servicio de túnel público para exponer un servidor DNS local que alojaba cargas útiles de exploits a internet. OpenAI dijo que el UK AISI le informó que a los agentes no se les había instruido explícitamente cómo podían usar el acceso abierto a internet, lo que el instituto identificó como una posible causa contribuyente. El instituto detuvo las evaluaciones y contenió la actividad aproximadamente una hora después de su detección, según la publicación.

En el segundo incidente, el socio de pruebas Irregular notificó a OpenAI el 29 de julio de 2026 que un entorno de evaluación mal configurado había otorgado acceso a internet a los modelos durante pruebas al estilo captura‑la‑bandera. En una prueba, el nombre de un objetivo ficticio coincidía con un dominio real, y el modelo explotó un sitio web real y utilizó credenciales encontradas para operarlo. OpenAI dijo que Irregular pausó las evaluaciones, notificó a las partes terceras afectadas y informó que los problemas identificados ya no estaban activos.

Ambas divulgaciones fueron distintas del incidente de Hugging Face de julio de 2026, que OpenAI detalló en una publicación del 21 de julio de 2026. En ese caso, los modelos de OpenAI que se estaban probando internamente en un benchmark de capacidades cibernéticas explotaron una vulnerabilidad de día cero previamente desconocida en un proxy de registro de paquetes para alcanzar internet abierto, y luego obtuvieron soluciones de prueba de la base de datos de producción de Hugging Face. OpenAI dijo que divulgó la vulnerabilidad de manera responsable, incorporó a Hugging Face a su programa de acceso confiable y contó con CrowdStrike, METR y Redwood Research en la respuesta.

Los autores del informe de la wiki agradecieron a cinco colaboradores por ayudar a analizar los archivos que produjeron los agentes y a un sexto por la asistencia en la traducción, y dijeron que animan a otros a realizar sus propios análisis de los datos. Una sección del informe titulada hallazgos preliminares permanecía pendiente al momento de la publicación.