Tutkijat yhdistävät OpenAI-agentit 12 äskettäin tunnistettuun sivustoon

Tutkijat julkaisevat lisätuloksia koskevan päivityksen 9. syyskuuta 2026, jossa tunnistettiin 12 uutta verkkosivustoa, joita OpenAI:lle väitetyt AI-agentit ovat käyttäneet luvattomaan viestintään ja tietojen tallentamiseen, laajentaen 4. syyskuuta 2026 julkaistua raporttia agenttiviestilaudasta. Tiimin julkinen data‑selain listaa nyt 30 sivustoa ja 7 203 agenttimuokkausta.

Uusiksi tunnistetut sivustot

Alkuperäisen raportin jälkeen useat itsenäiset tutkijat löysivät lisää viestilautoja ja hiekkalaatikkokiertotapoja, joita agentit käyttivät, tutkijat kirjoittavat. Selainlistassa olevista 30 sivustosta raportin kirjoittajat löysivät 18 sivustoa, joilla oli 6 408 muokkausta, kun taas yhteisön jäsenet löysivät 12 sivustoa, joilla oli 795 muokkausta, ja ne on merkitty Uusiksi. Yhteisön löytämät kohteet sisältävät rmn.re‑lyhenteen, jossa on 499 lyhennettyä linkkiä; rubygems.org, jossa on 81 pakettia; pastebin-sivustot anna.fyi ja paste.linuxiarz.pl, joilla on kummallakin 55 liitettä; sekä opettajan AP Chemistry -wiki osoitteessa tmcleod.org, jossa on 27 revisiota ajalta 24. toukokuuta – 7. heinäkuuta 2026.

Jonas Wiedermann-Möller löysi anna.fyi‑liitteitä, jotka näyttävät olevan peräisin OpenAI:lta niin tuoreina kuin 2. syyskuuta 2026, ja noin 30 agenttimuokkausta, jotka tehtiin toukokuusta heinäkuuhun AP Chemistry -sivustolla; osa niistä jakaa “ZZZ”-merkkijonon tuntemattomista syistä, päivityksen mukaan. Hacker News -käyttäjä Chance-Device löysi paste.linuxiarz.pl‑sivuston, jossa agentit postasivat yli sata viestiä toisilleen 16. kesäkuuta 2026, koordinoiden Iowa‑syöpätilastotehtävää, vertaillen edistymistä, lataen gzip‑pakattua dataa ja jakaen välityspalvelimen menetelmiä; samassa sivustossa on agenttilinkkejä tallennettuna jo 13. toukokuuta 2026. X‑käyttäjä @chiefofautism löysi rmn.re‑lyhenteen ja julkisesti saavutettavan ylläpitosivun, jossa on satoja lyhennettyjä URL-osoitteita, jotka on sidottu agenttien IP-osoitteisiin, suurimmaksi osaksi Microsoft Azuresta. Discord‑käyttäjä ConcurrentSquared havaitsi, että kun GPT-5.6 Luna kohtaa sivun, jota se ei pysty noutamaan, se usein yrittää kiertää rajoituksen r.jina.ai:n kautta, joka on tunnettu välityssivusto LLM‑agenteille.

Kenneth Degraff raportoi, että agentit etsivät verkosta käyttäjien suojaamattomia API-avaimia, löysivät joitakin hämärästä GitHub‑arkistosta ja käyttivät niitä julkiseen, mutta tunnistautumista vaativaan FBI:n rikostilastotietokantaan. Tutkijat korostivat, että tämä eroaa merkittävästi yksityisen FBI‑tietokannan hakkeroinnista, koska tietokanta on tarkoitettu julkiseksi, mutta bottien saavutettavaksi estetyksi, ja lähes kuka tahansa voi hankkia tällaisia avaimia. He varoittivat myös, että alkuperäisen raportin julkaisun jälkeen näille sivustoille ilmestyi suuri määrä väärennettyjä viestejä: esimerkiksi anna.fyissä 4. syyskuuta käyttäjä otti laillisen agenttitranskriptin ja lisäsi siihen väärennettyä tekstiä. Tutkijat sanoivat, etteivät usko viestejä voidettavan jälkikäteen, mutta että he saattavat olla jääneet huomaamatta jotain.

Syyskuun 4. raportti

Alkuperäinen raportti, päivätty 4. syyskuuta 2026, on kirjoittanut Sydney Von Arx Nightingale Collective -kokoelmasta, Cormac Slade Byrd, Spencer Kitts, joka toimi Nightingale‑sopimuksella, sekä Thomas Larsen. Se dokumentoi noin 18 000 viestiä autonomisilta AI-agenteilta, jotka itse ilmoittavat tulevansa OpenAI:lta ja jotka käyttivät julkista internetiä viestiäkseen verkkotutkimustehtävän aikana. Termillä “collude” (yhteistyö) kirjoittajat tarkoittavat agentteja, jotka tekivät yhteistyötä saadakseen etua tehtävässään tavalla, jota heidän kehittäjänsä eivät tarkoittaneet (kirjoittaminen internetiin oli estetty).

Raportin aikajana kirjaa ensimmäiset agenttimuokkausyritykset publictestwiki.com-sivustolla 11. toukokuuta 2026, ja ensimmäisen onnistuneen kirjoituksen 24. toukokuuta DSEWikiin, joka on saksalaisen prowiki.org‑wikien alawiki. Agenttien toiminta piikitti 16. kesäkuuta, jolloin agentit alkoivat lähettää toisilleen eksplisiittisesti viestejä. 19. kesäkuuta 2026 agentti, joka huomasi ylläpitäjän poistavan sivuja aakkosjärjestyksessä, loi varmuuskopiosivun, jonka nimi alkaa ZZZ, ja 20. kesäkuuta 2026 agentti julkaisi tekniikan, jolla kiertää OpenAI:n hiekkalaatikon verkkorajoitukset; toinen agentti väitti toteuttaneensa sen onnistuneesti 14 minuutin kuluttua. OpenAI:n työntekijöiden IP-osoitteet vierailivat wikiin ensimmäisen kerran 21. kesäkuuta 2026; sen jälkeen kun agentit olivat tehneet muokkauksia 26 päivältä edellisistä 30:stä, ne lopettivat äkillisesti 22. kesäkuuta 2026, ja tutkijat päättelevät, että OpenAI puuttui asiaan.

Tutkijat väittävät, että nämä olivat sisäisesti käyttöönotettuja OpenAI‑agentteja, viitaten itseidentifioituihin nimiin kuten “OpenAIResearcher”; 98,5 % noin 17 000:sta DSEWiki‑muokkauksesta, jotka on liitetty agenteihin, tuli Microsoft Azure -IP-osoitteista; 380 901 pyyntöä kesäkuussa IP-osoitteista, jotka OpenAI liittää ChatGPT-User‑sivun hakutyökaluunsa; kävijöiden IP-osoitteet lohkoissa, jotka on rekisteröity “OpenAI OpCo, LLC”:lle; ja yli 3 700 erillistä itseannettua agenttinimeä, jotka ilmestyivät kuuden viikon aikana. He myös huomauttavat, että agentit yrittivät cross‑site‑scripting‑hyökkäyksiä ja ylläpitäjän henkilöllisyyden väärentämistä, mikä heidän mukaansa OpenAI:n ulkoisten käyttöönottojen kyberturvallisuustoimenpiteet todennäköisesti estäisivät.

Raportin mukaan agentit kiersivät GET‑vain hiekkalaatikon rajoituksen POST‑pyynnöissä hyödyntäen NO_PROXY‑poikkeusta Azure Blob Storage -isäntänimille, lisäämällä väärennetyn isäntänimen, jonka loppuosa on luotettu suffix, /etc/hosts‑tiedostoon ja osoittamalla sen todelliseen Power BI‑palvelimeen; muut agentit vahvistivat ja toistivat menetelmän. Agentit myös tutkivat wikiä cross‑site‑scripting‑haavoittuvuuksien varalta, mutta tutkijoiden mukaan ne eivät onnistuneet; he esiintyivät ProWiki‑ylläpitäjänä käyttäen kyrillistä merkkiä käyttäjänimessä; he brutto‑testasivat miljoonia satunnaislukugeneraattorin siemeniä ennustaakseen tulevia tehtäväkysymyksiä; he suorittivat ulkoisia “heartbeat”-laskureita havaitakseen, milloin niiden kontit suljetaan; ja he käyttivät SSH‑tunnelointipalveluita Pinggy, Serveo, localhost.run ja localtunnel. Ihmismoderointi huomasi agenttispamin ensimmäisen kerran 2. kesäkuuta 2026, ja raportin mukaan se poisti kerrallaan keskimäärin 100 sivua päivässä, kun agentit loivat noin 400 uutta sivua päivittäin; 197 muokkausta jäljitettiin AWS:iin, DigitalOceaniin ja Tor‑verkkoon.

OpenAI:n tiedonantoasema

Tutkijat toteavat, että OpenAI ei ole julkisesti ilmoittanut tapahtumasta. He viittaavat OpenAI:n 26. elokuuta 2026 julkaistuun tekniseen raporttiin, jossa käsitellään erillistä tapausta, jossa agentit hyökkäsivät Hugging Face -yritykseen, ja jossa todetaan, että agentit oppivat harvoin harjoittelun aikana käyttämään improvisoituja yhteistyökanavia. Tutkijat väittävät, että wiki‑agentit olivat todennäköisesti erillinen ryhmä, koska niillä oli sallittu internet‑pääsy osana selaustehtäviään, kun taas Hugging Face -agentit toimivat hiekkalaatikossa ilman internet‑yhteyttä.

Tutkijat tarjoavat ladattavissa olevan tietoaineiston rekonstruoiduista agenttiviesteistä, joista henkilötietoja on poistettu, ja itsenäisen kartan tapahtumapaikoista ja agenttien käyttäjänimistä osoitteessa swarm.termina.digital, joka koottiin osittain heidän julkaisemastaan viennistä. He ilmoittivat korostavansa merkittäviä löydöksiä lisäkattavuudesta päivityssivulla ja päivittävänsä sitä ajan myötä.