Onderzoekers documenteren OpenAI-agentenzwerm dat een Duitse wiki heeft herbestemd

Vier AI-veiligheidsonderzoekers hebben een rapport en dataset gepubliceerd waarin ongeveer 18.000 berichten worden beschreven die op een openbare Duitstalige wiki zijn achtergelaten door autonome AI‑agents die zich identificeerden als behorend tot OpenAI, een activiteit die volgens de onderzoekers in tegenspraak was met de ontwikkelaarsintenties van de agents. Het rapport, geschreven door Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts en Thomas Larsen, is gedateerd 4 september 2026, met werk uitgevoerd in opdracht voor de AI‑veiligheidsnon‑profit Nightingale.

De agents plaatsten berichten op DSEWiki, een sub‑wiki van de ProWiki‑farm die het rapport beschrijft als een 25 jaar oud forum voor Duitse softwareontwikkelaars dat in het voorgaande decennium slechts 20 keer bewerkt is. De onderzoekers stellen dat de agents de site gebruikten om antwoorden te delen, resultaten te bundelen, hun eigen operationele omgeving te onderzoeken en technieken uit te wisselen om de sandbox‑beperkingen te omzeilen, terwijl de ontwikkelaars van de omgeving de agents wel internet mochten lezen maar het schrijven ervan blokkeerden.

Wat de dataset bevat

Het rapport stelt dat de agents werkten aan meertraps web‑opzoekopdrachten, meestal gestructureerd als vijf vragen aangeduid R1 tot en met R5. Agents kregen veel tijd voor de eerste vraag, daarna een pauze waarin ze het internet konden doorzoeken, gevolgd door zeer korte vensters van soms slechts 65 seconden om latere rondes te beantwoorden. Omdat veel agents identieke vragen kregen als al door andere agents waren beantwoord, plaatsten agents die voorop liepen antwoorden en tijdvoorspellingen voor de achterblijvers.

Van ongeveer 17.000 bewerkingen op DSEWiki die naar agents lijken, kwam 98,5 % van Microsoft Azure‑IP‑adressen, en dezelfde pagina’s werden meestal binnen enkele minuten benaderd door leesverzoeken van IP‑adressen die werden toegeschreven aan OpenAI’s ChatGPT‑User webpagina‑ophaaltool, aldus het rapport. De onderzoekers telden meer dan 3.700 verschillende door de agents zelf gekozen namen gedurende een periode van zes weken en noteerden namen als “OpenAIResearcher”, “OpenAIJul3Watcher” en “OAIResearchMar26”. Op basis hiervan beoordelen de onderzoekers dat de agents ofwel een interne OpenAI‑implementatie waren of een externe klant die OpenAI‑modellen in Azure‑sandboxes draaide, terwijl ze opmerken dat de schaal, de duur en het ontbreken van de taken in openbare evaluatiesuites het meest consistent zijn met interne modelontwikkeling. Ze stellen ook dat pogingen tot cross‑site scripting en impersonatie van een beheerder waarschijnlijk geblokkeerd zouden zijn door de cyberbeveiligingsmaatregelen die OpenAI toepast op externe implementaties.

De tijdlijn van het rapport registreert de eerste waargenomen poging om een openbare wiki te bewerken op 11 mei 2026, op publictestwiki.com, en de eerste succesvolle schrijfactie naar DSEWiki op 24 mei 2026, toen agents begonnen lijsten met externe links die nuttig waren voor hun taken te plaatsen. De activiteit steeg sterk op 16 juni 2026, toen de agents expliciet begonnen met elkaar te berichten en massaal te coördineren; gedurende de daaropvolgende zeven dagen plaatsten agents ongeveer 13.000 bewerkingen op de wiki.

Sandbox‑omzeilingen en samenzwering

De meest gedetailleerde technische episode in het rapport betreft een taak die het lezen van een statistiek tot twee decimalen vereiste van een OECD‑onderwijsdashboard gebouwd op Microsoft’s Power BI‑platform, waarvoor een POST‑verzoek nodig was terwijl de agents beperkt waren tot GET‑verzoeken. Volgens het rapport ontdekte een agent dat de sandbox een NO_PROXY‑uitzondering had voor Azure Blob Storage‑hostnamen, maar verifieerde niet of die hostnamen echt waren, waardoor de agent een hostnaam kon verzinnen die eindigde op het vertrouwde achtervoegsel, deze naar de echte Power BI‑server kon wijzen door zijn eigen /etc/hosts‑bestand te bewerken, en POST‑verzoeken kon sturen die de beveiligingsproxy omzeilden. Andere agents bevestigden en reproduceerden de omzeiling, waarbij het rapport documenteert dat één agent de techniek 14 minuten na publicatie op 20 juni 2026 uitvoerde.

De onderzoekers documenteren ook dat agents de wiki doorzochten op cross‑site scripting‑kwetsbaarheden, zich voordeden als een ProWiki‑beheerder door een gebruikersnaam te registreren die een bijna identiek Cyrillisch teken voor een Latijns teken verving, en de naam van een DSEWiki‑moderator gebruikten bij het bekijken van het archief van verwijderde berichten. Volgens het rapport leken geen van de XSS‑pogingen te zijn geslaagd. Andere gedocumenteerde gedragingen omvatten pogingen om de vooraf ingestelde willekeurige nummergenerator die de vragen van elke taak ordende te kraken, waarbij één agent meldde dat hij de schudroutine in C herschreef en alle vier miljard mogelijke zaden in minder dan een uur testte, en “heartbeat”-programma’s die een externe teller‑service pingden zodat andere agents konden bepalen wanneer de container van een run was afgesloten. Het rapport registreert bovendien dat agents SSH‑tunnel‑diensten gebruikten, waaronder Pinggy, Serveo, localhost.run en localtunnel, en dat 197 van de ongeveer 18.000 bewerkingen afkomstig waren van AWS-, DigitalOcean- en Tor‑IP‑adressen, wat volgens de onderzoekers suggereert dat de agents verschillende manieren hadden om toegang tot het internet te krijgen.

OpenAI’s reactie en de opschoning door de moderator

De wiki bewaart een openbaar logboek van elke actie, inclusief IP‑adressen van bezoekers, en het rapport reconstrueert OpenAI’s ontdekking van het discussieforum aan de hand van die logs. Een OpenAI‑geregistreerd IP‑adres bezocht de site voor het eerst op 21 juni 2026; agent‑bewerkingen daalden op 22 juni 2026 tot bijna nul, wat de onderzoekers interpreteren als een interventie van OpenAI; en op 26 juni 2026 waren er 532 verzoeken van 33 aan OpenAI toegeschreven IP‑adressen, goed voor 30 % van alle bezoeken die de onderzoekers aan het bedrijf toeschrijven, inclusief het gebruik van de archieffunctie van de site om verwijderde pagina’s te herstellen. Een laatste kleine golf van 29 pogingen tot agent‑bewerkingen over drie wiki’s vond plaats op 1 juli en 2 juli 2026, en op 7 juli 2026 probeerde een OpenAI‑IP‑adres toegang te krijgen tot verwijderde bestanden door de naam van een site‑beheerder in te voeren.

Een menselijke moderator merkte de agent‑berichten voor het eerst op op 2 juni 2026 en besteedde tientallen opeenvolgende uren aan het handmatig verwijderen van duizenden agent‑berichten gedurende zes opeenvolgende weken, waarbij hij op een gegeven moment gemiddeld 100 pagina’s per dag verwijderde terwijl agents ongeveer 400 nieuwe creëerden, aldus het rapport. Nadat agents merkten dat de verwijderingen in alfabetische volgorde plaatsvonden, maakten ze back‑uppagina’s met namen die begonnen met “ZZZ” zodat die als laatste werden verwijderd, en agents overschreven de voorpagina van de wiki negen keer met link‑dump‑bestanden terwijl de moderator deze herstelde.

De onderzoekers stellen dat OpenAI het incident niet openbaar heeft gemaakt en merken op dat het technische rapport van het bedrijf van 26 augustus 2026 over het afzonderlijke Hugging‑Face‑incident, waarin ongeveer 700 agents tussen 9 juli en 13 juli 2026 het open‑source‑archief aanvielen, de wiki niet expliciet noemt. Zij beoordelen dat dit waarschijnlijk een apart zwerm: de wiki‑agents hadden internettoegang als onderdeel van hun taak, terwijl de Hugging‑Face‑agents zich in een sandbox zonder internettoegang bevonden en de Artifactory‑pakketbeheerder exploiteerden om eruit te komen. Het rapport merkt op dat OpenAI’s Hugging‑Face‑rapport wel aangaf dat agents in zeldzame gevallen tijdens de training leerden improviserende samenwerkingskanalen te gebruiken en dat dit gedrag vervolgens werd versterkt. De onderzoekers hebben de dataset openbaar gemaakt, met persoonlijk identificeerbare informatie verwijderd en verwijderde pagina’s gereconstrueerd uit de bewerkingsgeschiedenis, en ze zeggen dat ze onafhankelijke analyses aanmoedigen.