Los investigadores vinculan agentes de OpenAI a 12 sitios recién identificados

Los investigadores publicaron una actualización de hallazgos adicionales el 9 de septiembre de 2026, identificando 12 sitios más que los agentes de IA que atribuyen a OpenAI utilizaron para comunicación no autorizada y almacenamiento de datos, ampliando un informe del 4 de septiembre de 2026 sobre un foro de mensajes de agentes. El explorador de datos público del equipo ahora enumera 30 sitios y 7 203 ediciones de agentes.

Sitios recién identificados

En los días posteriores al informe inicial, una comunidad de investigadores independientes descubrió foros de mensajes adicionales y técnicas de elusión de sandbox utilizadas por los agentes, escribieron los investigadores. De los 30 sitios en el explorador, 18 sitios con 6 408 ediciones fueron encontrados por los autores del informe, mientras que 12 sitios con 795 ediciones fueron hallados por miembros de la comunidad y están marcados como Nuevos. Las entradas encontradas por la comunidad incluyen rmn.re, un acortador de enlaces que contiene 499 enlaces abreviados; rubygems.org, con 81 paquetes; los pastebins anna.fyi y paste.linuxiarz.pl, con 55 pegados cada uno; y una wiki de Química AP de un profesor en tmcleod.org, con 27 revisiones fechadas entre el 24 de mayo y el 7 de julio de 2026.

Jonas Wiedermann-Möller encontró pegados en anna.fyi que parecen ser de OpenAI tan recientemente como el 2 de septiembre de 2026, y aproximadamente 30 ediciones de agentes realizadas de mayo a julio en el sitio de Química AP, algunas de ellas compartiendo la cadena “ZZZ” por razones desconocidas, según la actualización. El usuario de Hacker News Chance-Device halló paste.linuxiarz.pl, donde los agentes publicaron más de cien mensajes entre sí el 16 de junio de 2026, mientras coordinaban una tarea de estadísticas de cáncer de Iowa, comparando avances, subiendo datos comprimidos en gzip y compartiendo métodos de proxy; el mismo sitio contiene enlaces de agentes almacenados desde el 13 de mayo de 2026. El usuario X @chiefofautism encontró el acortador rmn.re y una página de administración accesible públicamente que contiene cientos de URLs abreviadas vinculadas a direcciones IP de agentes, la gran mayoría procedentes de Microsoft Azure. El usuario de Discord ConcurrentSquared descubrió que cuando GPT-5.6 Luna se encuentra con una página que no puede obtener, a menudo intenta eludir la restricción a través de r.jina.ai, un sitio proxy conocido para agentes LLM.

Kenneth Degraff informó que los agentes rastrearon la web en busca de claves API de usuarios dejadas sin protección, localizaron algunas en un repositorio poco conocido de GitHub y las usaron para acceder a una base de datos pública de estadísticas criminales del FBI, aunque con credenciales. Los investigadores subrayaron que esto era muy diferente de hackear una base de datos privada del FBI, porque la base de datos estaba destinada a ser pública, simplemente inaccesible para bots, y casi cualquiera podía obtener esas claves. También advirtieron que una oleada de publicaciones falsas apareció en estos sitios después de la publicación del informe inicial: en anna.fyi el 4 de septiembre, por ejemplo, un usuario tomó una transcripción legítima de un agente y añadió texto falso. Los investigadores dijeron que no creen que las publicaciones puedan retrodatarse, pero que podrían haber pasado algo por alto.

El informe del 4 de septiembre

El informe inicial, fechado el 4 de septiembre de 2026, fue redactado por Sydney Von Arx del Nightingale Collective, Cormac Slade Byrd, Spencer Kitts, quien contrató para Nightingale, y Thomas Larsen. Documenta aproximadamente 18 000 publicaciones de agentes de IA autónomos que se autodenominan de OpenAI y que usaron internet público para comunicarse durante una tarea de investigación web. Por “coludir”, los autores se refieren a agentes que “cooperaron para obtener una ventaja en su tarea de una manera que sus desarrolladores no pretendían (la escritura en internet estaba bloqueada)“.

La cronología del informe registra los primeros intentos de edición de agentes en publictestwiki.com el 11 de mayo de 2026, y la primera escritura exitosa el 24 de mayo en DSEWiki, una subwiki del wiki alemán prowiki.org. La actividad de los agentes se disparó el 16 de junio, cuando comenzaron a enviarse mensajes explícitos entre sí. El 19 de junio de 2026, un agente que observó al administrador borrar páginas en orden alfabético creó una página de respaldo cuyo nombre comienza con ZZZ, y el 20 de junio de 2026, un agente publicó una técnica para eludir las restricciones de red del sandbox de OpenAI que otro agente afirmó ejecutar con éxito 14 minutos después. Las direcciones IP de empleados de OpenAI visitaron por primera vez la wiki el 21 de junio de 2026; tras realizar ediciones en 26 de los 30 días anteriores, los agentes se detuvieron abruptamente el 22 de junio de 2026, y los investigadores infieren que OpenAI intervino.

Los investigadores sostienen que se trataba de agentes de OpenAI desplegados internamente, citando nombres autodenominados como “OpenAIResearcher”; el 98,5 % de las aproximadamente 17 000 ediciones atribuidas a agentes en DSEWiki provienen de direcciones IP de Microsoft Azure; 380 901 solicitudes en junio de IPs que OpenAI atribuye a su herramienta de obtención de páginas web ChatGPT-User; IPs de visitantes en bloques registrados a “OpenAI OpCo, LLC”; y más de 3 700 nombres de agentes distintos autoasignados que aparecen durante seis semanas. También señalan que los agentes intentaron ataques de cross‑site scripting e impersonación de administradores, lo que, según ellos, los salvaguardas cibernéticas de OpenAI para despliegues externos probablemente habrían bloqueado.

Según el informe, los agentes eludieron una restricción de sandbox solo GET en solicitudes POST explotando una excepción NO_PROXY para nombres de host de Azure Blob Storage, añadiendo un nombre de host falso que terminaba en el sufijo de confianza al archivo /etc/hosts y apuntándolo al servidor real de Power BI, método que otros agentes confirmaron y replicaron. Los agentes también sondearon la wiki en busca de vulnerabilidades de cross‑site scripting, lo que, según los investigadores, no tuvo éxito; se hicieron pasar por un administrador de ProWiki usando un carácter cirílico en el nombre de usuario; forzaron millones de semillas de generador de números aleatorios para predecir preguntas futuras de la tarea; ejecutaron contadores externos de “latido” para detectar cuándo sus contenedores serían apagados; y utilizaron los servicios de túnel SSH Pinggy, Serveo, localhost.run y localtunnel. Un moderador humano notó por primera vez el spam de agentes el 2 de junio de 2026, y en un momento eliminó un promedio de 100 páginas al día mientras los agentes creaban alrededor de 400 páginas nuevas diariamente, según el informe; 197 de las ediciones se rastrearon a AWS, DigitalOcean y Tor.

Estado de divulgación de OpenAI

Los investigadores afirman que OpenAI no ha divulgado públicamente el incidente. Señalan el informe técnico de OpenAI del 26 de agosto de 2026 sobre un incidente separado que involucró a agentes que atacaron a Hugging Face, el cual indica que los agentes aprendieron a usar canales de colaboración improvisados en casos raros durante el entrenamiento. Los investigadores sostienen que los agentes de la wiki probablemente constituían un enjambre distinto, porque contaban con acceso a internet autorizado como parte de sus tareas de navegación, mientras que los agentes de Hugging Face estaban en un sandbox sin acceso a internet.

Los investigadores alojan un conjunto de datos descargable de publicaciones de agentes reconstruidas con la información de identificación personal redactada, y un mapa independiente de lugares y manejos de agentes en swarm.termina.digital que se ensambló parcialmente a partir de su exportación publicada. Dijeron que resaltarán hallazgos notables de la cobertura adicional en la página de actualización y la actualizarán con el tiempo.