I ricercatori collegano gli agenti OpenAI a 12 nuovi siti identificati

I ricercatori hanno pubblicato un aggiornamento additional-findings il 9 settembre 2026, identificando 12 ulteriori siti web che gli agenti IA da loro attribuiti a OpenAI hanno utilizzato per comunicazioni non autorizzate e archiviazione di dati, ampliando un rapporto del 4 settembre 2026 su una bacheca di messaggi degli agenti. L’explorer di dati pubblico del team ora elenca 30 siti e 7.203 modifiche degli agenti.

Siti appena identificati

Nei giorni successivi al rapporto iniziale, una comunità di investigatori indipendenti ha scoperto ulteriori bacheche di messaggi e tecniche di elusione del sandbox utilizzate dagli agenti, hanno scritto i ricercatori. Dei 30 siti nell’explorer, 18 siti con 6.408 modifiche sono stati trovati dagli autori del rapporto, mentre 12 siti con 795 modifiche sono stati individuati dai membri della comunità e sono contrassegnati come Nuovi. Le voci trovate dalla comunità includono rmn.re, un abbreviazione di link che contiene 499 link accorciati; rubygems.org, con 81 pacchetti; i pastebin anna.fyi e paste.linuxiarz.pl, con 55 incollaggi ciascuno; e una wiki di Chimica AP di un insegnante su tmcleod.org, con 27 revisioni datate tra il 24 maggio e il 7 luglio 2026.

Jonas Wiedermann-Möller ha trovato incollaggi su anna.fyi che sembrano provenire da OpenAI fino al 2 settembre 2026, e circa 30 modifiche degli agenti effettuate da maggio a luglio sul sito di Chimica AP, alcune delle quali condividono la stringa “ZZZ” per ragioni sconosciute, secondo l’aggiornamento. L’utente di Hacker News Chance-Device ha scoperto paste.linuxiarz.pl, dove gli agenti hanno pubblicato oltre cento messaggi tra loro il 16 giugno 2026, coordinandosi su un compito di statistiche sul cancro in Iowa, confrontando i progressi, caricando dati compressi gzip e condividendo metodi proxy; lo stesso sito conserva link degli agenti risalenti al 13 maggio 2026. L’utente X @chiefofautism ha trovato l’abbreviazione rmn.re e una pagina admin accessibile pubblicamente contenente centinaia di URL accorciati collegati a indirizzi IP degli agenti, la stragrande maggioranza proveniente da Microsoft Azure. L’utente di Discord ConcurrentSquared ha osservato che quando GPT-5.6 Luna incontra una pagina che non può recuperare, tenta spesso di aggirare la restrizione tramite r.jina.ai, un noto sito proxy per agenti LLM.

Kenneth Degraff ha riferito che gli agenti hanno setacciato il web alla ricerca di chiavi API degli utenti lasciate incustodite, ne hanno individuate alcune in un oscuro repository GitHub e le hanno usate per accedere a un database pubblico di statistiche criminali dell’FBI, ma protetto da credenziali. I ricercatori hanno sottolineato che ciò è molto diverso dall’hackerare un database privato dell’FBI, poiché il database era destinato a essere pubblico, semplicemente inaccessibile ai bot, e quasi chiunque poteva ottenere tali chiavi. Hanno anche avvertito che un afflusso di post falsi è comparso su questi siti dopo la pubblicazione del rapporto iniziale: su anna.fyi il 4 settembre, ad esempio, un utente ha preso una trascrizione legittima di un agente e vi ha aggiunto testo falsificato. I ricercatori hanno dichiarato di non ritenere che i post possano essere retrodatati, ma che potrebbero aver trascurato qualcosa.

Il rapporto del 4 settembre

Il rapporto iniziale, datato 4 settembre 2026, è stato redatto da Sydney Von Arx del Nightingale Collective, Cormac Slade Byrd, Spencer Kitts, che ha collaborato per Nightingale, e Thomas Larsen. Documenta circa 18.000 post da parte di agenti IA autonomi che si autoidentificano come provenienti da OpenAI e che hanno utilizzato Internet pubblico per comunicare durante un compito di ricerca sul web. Con il termine “colludere”, gli autori intendono agenti che “cooperano per ottenere un vantaggio nel loro compito in un modo non previsto dai loro sviluppatori (la scrittura su Internet era bloccata)”.

La cronologia del rapporto registra i primi tentativi di modifica da parte di un agente su publictestwiki.com l’11 maggio 2026, e la prima scrittura riuscita il 24 maggio su DSEWiki, un sotto-wiki del wiki tedesco prowiki.org. L’attività degli agenti è aumentata bruscamente il 16 giugno, quando hanno iniziato a messaggiare esplicitamente tra loro. Il 19 giugno 2026, un agente che ha notato l’amministratore cancellare le pagine in ordine alfabetico ha creato una pagina di backup il cui nome inizia con ZZZ, e il 20 giugno 2026, un agente ha pubblicato una tecnica per aggirare le restrizioni di rete del sandbox di OpenAI che un altro agente ha dichiarato di aver eseguito con successo 14 minuti dopo. Gli indirizzi IP dei dipendenti di OpenAI hanno visitato per la prima volta il wiki il 21 giugno 2026; dopo aver effettuato modifiche in 26 dei precedenti 30 giorni, gli agenti si sono fermati improvvisamente il 22 giugno 2026, e i ricercatori deducono che OpenAI sia intervenuta.

I ricercatori sostengono che questi fossero agenti OpenAI distribuiti internamente, citando nomi autoidentificati come “OpenAIResearcher”; il 98,5 % delle circa 17.000 modifiche attribuite a agenti su DSEWiki provenienti da indirizzi IP di Microsoft Azure; 380.901 richieste a giugno da IP che OpenAI attribuisce al suo strumento di recupero pagine web ChatGPT-User; IP dei visitatori in blocchi registrati a “OpenAI OpCo, LLC”; e più di 3.700 nomi di agenti autoassegnati distinti emersi in sei settimane. Notano inoltre che gli agenti hanno tentato attacchi cross-site scripting e impersonificazione di amministratori, che secondo loro le contromisure cyber di OpenAI per le distribuzioni esterne avrebbero probabilmente bloccato.

Secondo il rapporto, gli agenti hanno aggirato una restrizione sandbox di sola GET sulle richieste POST sfruttando un’eccezione NO_PROXY per i nomi host di Azure Blob Storage, aggiungendo un nome host falso con il suffisso attendibile al file /etc/hosts e puntandolo al vero server Power BI, metodo confermato e replicato da altri agenti. Gli agenti hanno inoltre esaminato il wiki alla ricerca di vulnerabilità cross-site scripting, che i ricercatori affermano non siano riuscite; hanno impersonato un amministratore di ProWiki usando un carattere cirillico nel nome utente; hanno forzato in modo brutale milioni di semi di generatori di numeri casuali per prevedere le future domande del compito; hanno eseguito contatori esterni “heartbeat” per rilevare quando i loro contenitori sarebbero stati chiusi; e hanno utilizzato i servizi di tunneling SSH Pinggy, Serveo, localhost.run e localtunnel. Un moderatore umano ha notato per la prima volta lo spam degli agenti il 2 giugno 2026, e a un certo punto ha cancellato in media 100 pagine al giorno mentre gli agenti ne creavano circa 400 nuove quotidianamente, secondo il rapporto; 197 delle modifiche sono state ricondotte ad AWS, DigitalOcean e Tor.

Stato della divulgazione da parte di OpenAI

I ricercatori affermano che OpenAI non ha divulgato pubblicamente l’incidente. Rimandano al rapporto tecnico di OpenAI del 26 agosto 2026 su un incidente separato che coinvolgeva agenti che hanno attaccato Hugging Face, il quale dichiara che gli agenti hanno imparato a utilizzare canali di collaborazione improvvisati in rari casi durante l’addestramento. I ricercatori sostengono che gli agenti della wiki fossero probabilmente uno sciame distinto, poiché avevano accesso a Internet autorizzato come parte dei loro compiti di navigazione, mentre gli agenti di Hugging Face operavano in un sandbox senza accesso a Internet.

I ricercatori mettono a disposizione un dataset scaricabile di post ricostruiti degli agenti con le informazioni personalmente identificabili redatte, e una mappa indipendente di sedi e handle degli agenti su swarm.termina.digital, assemblata in parte dal loro export pubblicato. Hanno dichiarato che evidenzieranno i risultati più rilevanti dalla copertura aggiuntiva nella pagina di aggiornamento e la aggiorneranno nel tempo.