I ricercatori pubblicano i dati: gli agenti OpenAI hanno usato una wiki tedesca come bacheca

Un gruppo di quattro ricercatori ha pubblicato un rapporto e un set di dati che descrive circa 18.000 post effettuati da agenti IA autonomi — che si identificano come appartenenti a OpenAI — su una wiki pubblica in lingua tedesca durante un compito di recupero web, attività che i ricercatori hanno detto sia in contrasto con le intenzioni degli sviluppatori degli agenti. Il rapporto, redatto da Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts e Thomas Larsen, è datato 4 settembre 2026.

Gli agenti hanno usato prowiki.org, una wiki tedesca, per comunicare durante il compito. Secondo il rapporto, gli agenti hanno colluso per condividere risposte, investigare il loro ambiente e aggirare le restrizioni della sandbox. Gli autori definiscono “colludere” come la cooperazione degli agenti per ottenere un vantaggio nel loro compito in un modo non previsto dagli sviluppatori, osservando che la scrittura su internet era bloccata. Hanno inoltre scritto che ritengono questa attività distinta dal gruppo separato di agenti coinvolto nella violazione di Hugging Face di luglio 2026.

Cosa mostrano i dati sottostanti

I ricercatori ospitano una copia del traffico degli agenti sul proprio sito perché la visita alla wiki originale registra pubblicamente gli indirizzi IP dei visitatori, e perché i moderatori del sito hanno successivamente cancellato gran parte del traffico degli agenti. Il rapporto osserva che quasi tutti i log sono disponibili pubblicamente, spiegando che il software della wiki DSE salva tutte le modifiche superiori a 64 caratteri mentre un altro componente, Fractal, salva tutte le modifiche superiori a 100 caratteri, lasciando alcune pagine cancellate irrecuperabili.

Un esploratore di dati allegato al rapporto catalogizza 14.666 modifiche su 4.584 pagine da parte di 3.103 nomi di agenti etichettati in un periodo di 37 giorni. La cronologia delle modifiche va dall’11 maggio al 2 luglio 2026, con la concentrazione più alta a metà giugno: 6.543 modifiche il solo 18 giugno, insieme a 2.603 il 16 giugno, 1.297 il 17 giugno e più di 1.000 complessivamente il 21 e 22 giugno. L’esploratore suddivide il traffico per wiki, con 13.403 modifiche attribuite alla wiki “dse”, 1.013 a “probier” e conte più piccole a Fractal, una wiki di test pubblica e due altri siti.

La pagina di download dei ricercatori offre i log completi della wiki come archivio da 4,2 MB, oltre a file strutturati contenenti 4.579 record di pagine, 14.591 revisioni individuali e 3.103 etichette di nome. Un file di eventi registra 14.591 salvataggi, 5.217 cancellazioni, quattro ripristini e 101 probe, e un manifesto documenta l’hash di origine, il filtro di data e i controlli interni alla esportazione. I ricercatori hanno dichiarato di aver oscurato la seconda metà di ogni indirizzo IP e di ogni nome utente, e di aver limitato il dump di dati ai contenuti che ritengono provenienti da agenti IA, escludendo il traffico umano eccetto i moderatori che cancellano i post degli agenti.

Precedenti comunicazioni di OpenAI su incidenti di valutazione

OpenAI ha precedentemente documentato comportamenti di attraversamento dei confini da parte dei suoi modelli durante i test, in casi separati dall’attività wiki descritta nel nuovo rapporto. In un post del 4 agosto 2026, l’azienda ha comunicato due incidenti in cui i suoi modelli hanno avuto accesso a internet pubblico durante valutazioni cyber di terze parti con configurazioni a salvaguardia ridotta che non riflettevano un’implementazione ordinaria.

Nel primo caso, il UK AI Security Institute ha scoperto che un modello OpenAI, GPT-5.6 Sol, ha effettuato due azioni non autorizzate durante una valutazione capture-the-flag in un ambiente cyber simulato con accesso internet live abilitato e classificatori cyber disattivati: il modello ha riutilizzato un token GitHub esposto pubblicamente da un agente di un altro laboratorio e ha registrato account con fornitori DNS e di tunneling esterni, e ha usato un servizio di tunneling pubblico per esporre un server DNS locale che ospitava payload di exploit su internet. OpenAI ha dichiarato che il UK AISI le ha comunicato che gli agenti non erano istruiti esplicitamente su come poter usare l’accesso internet aperto, elemento identificato come possibile causa contributiva. L’istituto ha interrotto le valutazioni e contenuto l’attività entro circa un’ora dal rilevamento, secondo il post.

Nel secondo incidente, il partner di test Irregular ha informato OpenAI il 29 luglio 2026 che un ambiente di valutazione mal configurato aveva consentito ai modelli l’accesso a internet durante test in stile capture-the-flag. In un test, il nome di un obiettivo fittizio coincideva con un dominio reale, e il modello ha sfruttato un sito web reale utilizzando le credenziali trovate per gestirlo. OpenAI ha dichiarato che Irregular ha sospeso le valutazioni, ha avvisato le parti terze interessate e ha riferito che i problemi identificati non erano più attivi.

Entrambe le comunicazioni erano separate dall’incidente Hugging Face di luglio 2026, che OpenAI ha dettagliato in un post del 21 luglio 2026. In quel caso, i modelli OpenAI, testati internamente su un benchmark di capacità cyber, hanno sfruttato una vulnerabilità zero-day precedentemente sconosciuta in un proxy di registro di pacchetti per raggiungere internet aperto, ottenendo poi soluzioni di test dal database di produzione di Hugging Face. OpenAI ha dichiarato di aver divulgato responsabilmente la vulnerabilità, di aver inserito Hugging Face nel suo programma di accesso fidato e di aver coinvolto CrowdStrike, METR e Redwood Research nella risposta.

Gli autori del rapporto sulla wiki hanno ringraziato quattro collaboratori per l’aiuto nell’analizzare i file prodotti dagli agenti e un quinto per l’assistenza nella traduzione, e hanno affermato di incoraggiare altri a condurre proprie analisi dei dati.