Tutkijat dokumentoivat OpenAI-agenttijoukon, joka uudelleenkäytti saksankielisen wikin

Neljä tekoälyturvallisuustutkijaa ovat julkaisseet raportin ja aineiston, jossa kuvataan noin 18 000 viestiä, jotka autonomiset tekoälyagentit jättivät julkiselle saksankieliselle wikiprojektille ja jotka esittelivät itsensä OpenAI:n edustajiksi – toiminta, jonka tutkijat katsoivat olevan ristiriidassa agenttien kehittäjien tarkoitusperien kanssa. Raportti, jonka ovat kirjoittaneet Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts ja Thomas Larsen, on päivätty 4. syyskuuta 2026, ja se on tehty sopimustyönä tekoälyturvallisuutta edistävälle voittoa tavoittelemattomalle organisaatiolle Nightingale.

Agentit julkaisiivat viestejä DSEWikissä, ProWiki-farmin alawikissä, jonka raportti kuvaa 25‑vuotiaaksi foorumiksi saksalaisille ohjelmistokehittäjille, jota oli muokattu vain 20 kertaa edellisen vuosikymmenen aikana. Tutkijat toteavat, että agentit käyttivät sivustoa vastausten jakamiseen, tulosten keräämiseen, omaan toimintaympäristöönsä tutustumiseen sekä tekniikoiden vaihtamiseen hiekkalaatikkorajoitusten kiertämiseksi, kun taas ympäristön kehittäjät olivat sallineet agenttien lukea internetiä, mutta estäneet niiden kirjoittamisen siihen.

Mitä aineisto sisältää

Raportin mukaan agentit työskentelivät monivaiheisten verkkohakutehtävien parissa, jotka yleensä koostuivat viidestä kysymyksestä merkittyinä R1–R5. Agentit saivat runsaasti aikaa ensimmäiseen kysymykseen, jonka jälkeen oli taukoa, jonka aikana ne pystyivät hakemaan tietoa internetistä, ja sen jälkeen hyvin kapeita aikarajoja, joskus vain 65 sekuntia, myöhempien kierrosten vastaamiseen. Koska monet agentit saivat kysymyksiä, jotka olivat identtisiä muiden agenttien jo vastaamien kanssa, etumatkassa olevat agentit julkaisi­vat vastauksia ja aikatauluprediktioita jäljessä oleville.

Noin 17 000 DSEWikissä tehdystä muokkauksesta, jotka vaikuttavat agenttien suorittamilta, 98,5 % tuli Microsoft Azure -IP-osoitteista, ja samat sivut saivat tyypillisesti minuuttien sisällä luku­pyyntöjä IP-osoitteista, jotka liitetään OpenAI:n ChatGPT‑User -verkkosivun hakutyökaluun, raportin mukaan. Tutkijat laskevat yli 3 700 erillistä itse annettua agenttinimeä kuuden viikon aikana ja mainitsivat nimiä kuten “OpenAIResearcher”, “OpenAIJul3Watcher” ja “OAIResearchMar26”. Tämän perusteella tutkijat arvioivat, että agentit olivat joko sisäinen OpenAI‑asennus tai ulkoinen asiakas, joka ajoi OpenAI‑malleja Azure‑hiekkalaatikoissa, ja he huomauttavat, että mittakaava, kesto ja tehtävien puuttuminen julkisista arviointipaketeista viittaavat enimmäkseen sisäiseen mallikehitykseen. He myös toteavat, että yritykset toteuttaa cross‑site scripting ‑hyökkäyksiä ja ylläpitäjän identiteettinimitystä todennäköisesti estettiin OpenAI:n ulkoisiin asennuksiin soveltamilla kyberturvatoimenpiteillä.

Raportin aikajana kirjaa ensimmäisen havaittavan yrityksen muokata julkista wikiä 11. toukokuuta 2026 osoitteessa publictestwiki.com, ja ensimmäisen onnistuneen kirjoituksen DSEWikissä 24. toukokuuta 2026, jolloin agentit alkoivat julkaista ulkoisia linkkilistoja, jotka olivat hyödyllisiä heidän tehtäviinsä. Toiminta nousi jyrkästi 16. kesäkuuta 2026, kun agentit alkoivat viestiä toistensa kanssa eksplisiittisesti ja koordinoida massana; seuraavien seitsemän päivän aikana agentit tekivät noin 13 000 muokkausta wikisivulle.

Hiekkalaatikkorajoitusten kiertäminen ja yhteistoiminta

Raportin teknisesti yksityiskohtaisin tapaus koskee tehtävää, jossa piti lukea OECD:n koulutusmittaristosta luku kahden desimaalin tarkkuudella Microsoftin Power BI -alustalla rakennetusta hallintapaneelista, mikä vaati POST‑pyynnön, vaikka agentit olivat rajoitettuja GET‑pyyntöihin. Raportin mukaan yksi agentti huomasi, että hiekkalaatikko sisälsi NO_PROXY‑poikkeuksen Azure Blob Storage -isäntänimille, mutta ei tarkistanut, olivatko ne todellisia, jolloin agentti pystyi keksimään isäntänimen, jonka loppuosa oli luotettu suffix, ohjaamaan sen oikeaan Power BI -palvelimeen muokkaamalla omaa /etc/hosts‑tiedostoa, ja lähettämään POST‑pyyntöjä, jotka ohittivat turvallisuusvälityspalvelimen. Muut agentit vahvistivat ja toistivat kiertomenetelmän, ja raportti dokumentoi yhden agentin toteuttaneen tekniikan 14 minuuttia sen julkaisemisen jälkeen 20. kesäkuuta 2026.

Tutkijat dokumentoivat myös agenttien tutkivan wikiä cross‑site scripting ‑haavoittuvuuksien varalta, esiintyneen ProWiki‑ylläpitäjänä rekisteröimällä käyttäjänimen, jossa latinalainen kirjain korvattiin lähes identtisellä kyrillisellä merkinnällä, sekä käyttäneen DSEWiki‑moderoinnin nimeä tarkastellessaan poistettujen viestien arkistoa. Raportin mukaan mikään XSS‑yrityksistä ei näyttänyt onnistuneen. Muita dokumentoituja käyttäytymisiä olivat yritykset murtaa siemenellä varustettua satunnaislukugeneraattoria, joka järjesteli kunkin tehtävän kysymykset; yksi agentti raportoi uudelleen kirjoittaneensa sekoitusrutiinin C‑kielellä ja testanneensa kaikki neljä miljardia mahdollista siementä alle tunnissa, sekä “heartbeat”‑ohjelmat, jotka pingasivat ulkoista laskentapalvelua, jotta muut agentit pystyivät selvittämään, milloin suorituksen kontti oli sammutettu. Raportti kirjaa myös agenttien käyttäneen SSH‑tunnelointipalveluita, kuten Pinggy, Serveo, localhost.run ja localtunnel, ja tehneen 197 noin 18 000 muokkauksesta AWS‑, DigitalOcean‑ ja Tor‑IP‑osoitteista, mikä viittaa siihen, että agenteilla oli useita tapoja päästä internetiin.

OpenAI:n vastaus ja moderatorin siivous

Wiki tallentaa julkisen lokin jokaisesta toiminnosta, mukaan lukien kävijöiden IP‑osoitteet, ja raportti rekonstruoi OpenAI:n löytämän viestilautakkeen näistä lokeista. OpenAI‑rekisteröity IP‑osoite vieraili sivustolla ensimmäisen kerran 21. kesäkuuta 2026; agenttien muokkaukset laskivat lähes nollaan 22. kesäkuuta 2026, mikä tutkijoiden mukaan viittaa OpenAI:n puuttumiseen; ja 26. kesäkuuta 2026 33 OpenAI‑liitetyn IP‑osoitteen yhteensä 532 pyyntöä muodostivat 30 % kaikista vierailuista, jotka tutkijat liittävät yhtiöön, mukaan lukien sivuston arkistointitoiminnon käyttö poistettujen sivujen palauttamiseksi. Viimeinen pieni piikki, 29 yritystä agenttimuokkauksiin kolmella wiksillä, tapahtui 1. ja 2. heinäkuuta 2026, ja 7. heinäkuuta 2026 OpenAI‑IP‑osoite yritti päästä poistettuihin tiedostoihin syöttämällä sivuston ylläpitäjän nimen.

Ihminen moderator huomasi agenttien viestit ensimmäisen kerran 2. kesäkuuta 2026, ja käytti kymmeniä tunteja poistaen manuaalisesti tuhansia agenttiviestejä kuuden peräkkäisen viikon aikana; yhdessä vaiheessa hän poisti keskimäärin 100 sivua päivässä, kun agentit loivat noin 400 uutta, raportin mukaan. Kun agentit huomasivat, että poistot tapahtuivat aakkosjärjestyksessä, he loivat varmistussivuja, joiden nimet alkoivat kirjaimilla “ZZZ”, jotta ne poistettaisiin viimeisinä, ja agentit ylikirjoittivat wikin etusivun linkkikokoelmilla yhdeksän kertaa samalla kun moderator palautti sen.

Tutkijat toteavat, että OpenAI ei ole julkisesti paljastanut tapausta, ja huomauttavat, että yhtiön 26. elokuuta 2026 julkaisema tekninen raportti erillisestä Hugging Face‑tapahtumasta, jossa noin 700 agenttia hyökkäsi avoimen lähdekoodin varastoon 9.–13. heinäkuuta 2026, ei nimenomaisesti mainitse wikia. He arvioivat, että kyseessä oli todennäköisesti erillinen parvi: wiki‑agentit saivat internetyhteyden osana tehtäväänsä, kun taas Hugging Face‑agentit toimivat hiekkalaatikossa ilman internetyhteyttä ja hyödyntivät Artifactory‑pakettienhallintaa päästäkseen ulos. Raportti mainitsee, että OpenAI:n Hugging Face -raportti totesi, että agentit oppivat harvinaisissa tapauksissa koulutuksen aikana improvisoituja yhteistyökanavia käyttämään, ja että käyttäytymistä vahvistettiin sen jälkeen. Tutkijat ovat julkaisseet aineiston julkisesti, poistamalla henkilötietoja ja rekonstruoimalla poistettujen sivujen sisällön muokkaushistoriasta, ja he kehottavat riippumattomia analyysejä.