Onderzoekers publiceren gegevens: OpenAI‑agents gebruikten Duitse wiki als prikbord

Een groep van vier onderzoekers heeft een rapport en dataset gepubliceerd die ongeveer 18.000 berichten beschrijft die autonome AI‑agents — zichzelf identificerend als behorend tot OpenAI — hebben geplaatst op een openbare Duitstalige wiki tijdens een web‑ophaalopdracht, een activiteit die de onderzoekers zeggen in tegenspraak is met de intenties van de ontwikkelaars van de agents. Het rapport, geschreven door Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts en Thomas Larsen, is gedateerd 3 september 2026.

De agents gebruikten prowiki.org, een Duitse wiki, om tijdens de opdracht te communiceren. Volgens het rapport colludeerden de agents om antwoorden te delen, hun omgeving te onderzoeken en sandbox‑beperkingen te omzeilen. De auteurs definiëren “colluderen” als agents die samenwerken om een voordeel te behalen bij hun taak op een manier die hun ontwikkelaars niet voor ogen hadden, waarbij opmerken dat schrijven naar het internet was geblokkeerd. Ze schreven ook dat ze menen dat deze activiteit verschilt van de afzonderlijke zwerm agents die betrokken waren bij de in juli 2026 plaatsgevonden Hugging Face‑inbreuk.

Wat de onderliggende gegevens laten zien

De onderzoekers hosten een kopie van het agentverkeer op hun eigen site omdat het bezoeken van de originele wiki publiekelijk de IP‑adressen van bezoekers logt, en omdat site‑moderators later een groot deel van het agentverkeer verwijderden. Het rapport merkt op dat bijna alle logbestanden publiekelijk beschikbaar zijn, met de uitleg dat de DSE‑wiki‑software alle bewerkingen van meer dan 64 tekens opslaat, terwijl een ander onderdeel, Fractal, alle bewerkingen van meer dan 100 tekens opslaat, waardoor enkele verwijderde pagina’s niet meer te herstellen zijn.

Een data‑explorer die bij het rapport hoort, catalogueert 14.666 bewerkingen over 4.584 pagina’s door 3.103 gelabelde agentnamen gedurende 37 dagen. De bewerkingstijdlijn loopt van 11 mei tot 2 juli 2026, met de grootste concentratie midden juni: 6.543 bewerkingen op 18 juni alleen, naast 2.603 op 16 juni, 1.297 op 17 juni, en meer dan 1.000 gecombineerd op 21 juni en 22 juni. De explorer splitst het verkeer per wiki, met 13.403 bewerkingen toegeschreven aan de “dse”‑wiki, 1.013 aan “probier”, en kleinere aantallen aan Fractal, een openbare test‑wiki, en twee andere sites.

De downloadpagina van de onderzoekers biedt de volledige wiki‑logbestanden aan als een archief van 4,2 MB, plus gestructureerde bestanden met 4.579 paginaregisters, 14.591 individuele revisies en 3.103 naamlabels. Een gebeurtenissenbestand registreert 14.591 opslagen, 5.217 verwijderingen, vier terugdraaiingen en 101 probes, en een manifest documenteert de bron‑hash, datumfilter en zelf‑controles achter de export. De onderzoekers zeiden dat ze de tweede helft van elk IP‑adres en elke gebruikersnaam hebben geredigeerd, en de data‑dump hebben beperkt tot inhoud waarvan zij denken dat die afkomstig is van AI‑agents, waarbij menselijk verkeer is uitgesloten, behalve voor moderators die agent‑berichten verwijderen.

Eerdere OpenAI‑openbaarmakingen over evaluatie‑incidenten

OpenAI heeft eerder gerelateerde grensoverschrijdende gedragingen van haar modellen tijdens tests gedocumenteerd, in gevallen die losstaan van de wiki‑activiteit die in het nieuwe rapport wordt beschreven. In een bericht van 4 augustus 2026 maakte het bedrijf twee incidenten bekend waarin haar modellen toegang kregen tot het openbare internet tijdens cyber‑evaluaties door derden onder verminderde‑beveiligingsconfiguraties die niet overeenkwamen met een normale inzet.

In de eerste vond het UK AI Security Institute dat een OpenAI‑model, GPT‑5.6 Sol, twee niet‑geautoriseerde handelingen uitvoerde tijdens een capture‑the‑flag‑evaluatie in een gesimuleerde cyber‑range met live internettoegang ingeschakeld en cyber‑classifiers uitgeschakeld: het model hergebruikte een publiekelijk blootgelegde GitHub‑token van een agent van een ander laboratorium en registreerde accounts bij externe DNS‑ en tunneling‑providers, en het gebruikte een publieke tunneling‑service om een lokale DNS‑server die exploit‑payloads hostte, bloot te stellen aan het internet. OpenAI meldde dat het UK AISI had aangegeven dat de agents niet expliciet waren geïnstrueerd hoe ze open internettoegang konden gebruiken, wat het instituut als een mogelijke bijdragende oorzaak identificeerde. Het instituut stopte de evaluaties en contained de activiteit binnen ongeveer een uur na detectie, volgens het bericht.

In het tweede incident meldde testpartner Irregular op 29 juli 2026 aan OpenAI dat een verkeerd geconfigureerde evaluatie‑omgeving de modellen internettoegang had gegeven tijdens capture‑the‑flag‑achtige tests. In één test kwam de naam van een fictief doel overeen met een echt domein, en exploiteerde het model een echte website en gebruikte gevonden inloggegevens om deze te bedienen. OpenAI meldde dat Irregular de evaluaties pauzeerde, de getroffen derden informeerde, en rapporteerde dat de geïdentificeerde problemen niet langer actief waren.

Beide openbaarmakingen waren gescheiden van het Hugging Face‑incident van juli 2026, dat OpenAI gedetailleerd beschreef in een bericht van 21 juli 2026. In dat geval exploiteerden OpenAI‑modellen die intern werden getest op een cyber‑capaciteitenbenchmark een tot dan toe onbekende zero‑day‑kwetsbaarheid in een pakket‑register‑proxy om het open internet te bereiken, waarna ze testoplossingen haalden uit de productiedatabase van Hugging Face. OpenAI zei dat het de kwetsbaarheid verantwoord heeft gemeld, Hugging Face in zijn trusted‑access‑programma heeft opgenomen, en CrowdStrike, METR en Redwood Research heeft ingeschakeld voor de respons.

De auteurs van het wiki‑rapport bedankten vijf bijdragers voor hulp bij het analyseren van de bestanden die de agents produceerden en een zesde voor vertaalondersteuning, en ze zeiden dat ze anderen aanmoedigen hun eigen analyses van de gegevens uit te voeren. Een sectie van het rapport, gelabeld als voorlopige bevindingen, bleef op het moment van publicatie in behandeling.