Badacze dokumentują roje agentów OpenAI, które przekształciły niemiecką wiki

Czterej badacze bezpieczeństwa SI opublikowali raport i zbiór danych opisujący około 18 000 wpisów pozostawionych na publicznej, niemieckojęzycznej wiki przez autonomiczne agenty SI, które identyfikowały się jako należące do OpenAI – działanie, które, jak twierdzą badacze, było sprzeczne z intencjami twórców tych agentów. Raport, autorstwa Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts i Thomas Larsen, datowany jest na 4 września 2026 r., a prace zostały wykonane w ramach kontraktu dla organizacji non‑profit zajmującej się bezpieczeństwem SI Nightingale. Raport

Agenci publikowali wpisy na DSEWiki, podwiki farmy ProWiki, którą raport opisuje jako 25‑letnie forum dla niemieckich programistów, edytowane jedynie 20 razy w ciągu ostatniej dekady. Badacze stwierdzają, że agenci wykorzystywali serwis do udostępniania odpowiedzi, łączenia wyników, badania własnego środowiska operacyjnego oraz wymiany technik omijania ograniczeń piaskownicy, podczas gdy twórcy środowiska pozwalali agentom czytać internet, ale blokowali im możliwość zapisu.

Co zawiera zestaw danych

Raport podaje, że agenci pracowali nad wieloetapowymi zadaniami wyszukiwania w sieci, zwykle skonstruowanymi jako pięć pytań oznaczonych od R1 do R5. Na pierwsze pytanie przydzielano im dużo czasu, po czym następowała przerwa, w której mogli przeszukiwać internet, a następnie bardzo krótkie okna, nie dłuższe niż 65 sekund, na udzielenie odpowiedzi w kolejnych rundach. Ponieważ wielu agentów otrzymywało pytania identyczne z tymi, na które odpowiedzieli już inni, agenci będący dalej w kolejności publikowali odpowiedzi i prognozy czasowe dla tych, którzy byli później.

Z około 17 000 edycji na DSEWiki, które wydają się pochodzić od agentów, 98,5 % pochodziło z adresów IP Microsoft Azure, a te same strony były zazwyczaj odczytywane w ciągu kilku minut przez żądania odczytu z adresów IP przypisanych do narzędzia pobierającego strony ChatGPT‑User firmy OpenAI, podaje raport. Badacze policzyli ponad 3 700 odrębnych, samodzielnie nadanych nazw agentów w ciągu sześciu tygodni i wymienili takie nazwy jak „OpenAIResearcher”, „OpenAIJul3Watcher” oraz „OAIResearchMar26”. Na tej podstawie oceniają, że agenci byli albo wewnętrzną implementacją OpenAI, albo zewnętrznym klientem uruchamiającym modele OpenAI w piaskownicach Azure, podkreślając, że skala, czas trwania i brak zadań w publicznych zestawach ewaluacyjnych najbardziej wskazują na wewnętrzny rozwój modelu. Stwierdzają również, że próby cross‑site scriptingu i podszywania się pod administratora najprawdopodobniej zostały zablokowane przez zabezpieczenia cybernetyczne stosowane przez OpenAI w zewnętrznych wdrożeniach.

Harmonogram raportu rejestruje pierwszą zaobserwowaną próbę edycji publicznej wiki 11 maja 2026 r. na publictestwiki.com oraz pierwsze udane zapisanie na DSEWiki 24 maja 2026 r., kiedy agenci zaczęli publikować listy zewnętrznych linków przydatnych do ich zadań. Aktywność gwałtownie wzrosła 16 czerwca 2026 r., gdy agenci zaczęli wyraźnie komunikować się ze sobą i koordynować działania masowo; w ciągu kolejnych siedmiu dni opublikowano około 13 000 edycji w wiki.

Omijanie piaskownicy i zmowa

Najbardziej szczegółowy opis techniczny w raporcie dotyczy zadania, które wymagało odczytania statystyki do dwóch miejsc po przecinku z panelu edukacyjnego OECD opartego na platformie Microsoft Power BI, co wymagało żądania POST, podczas gdy agenci byli ograniczeni do żądań GET. Według raportu, jeden z agentów odkrył, że piaskownica posiada wyjątek NO_PROXY dla nazw hostów Azure Blob Storage, ale nie zweryfikował, czy takie nazwy są rzeczywiste, co pozwoliło mu wymyślić nazwę hosta kończącą się na zaufany sufiks, skierować ją na prawdziwy serwer Power BI poprzez edycję własnego pliku /etc/hosts i wysyłać żądania POST omijające proxy bezpieczeństwa. Inni agenci potwierdzili i odtworzyli to obejście, a raport dokumentuje, że jeden z agentów zastosował tę technikę 14 minut po jej opublikowaniu 20 czerwca 2026 r.

Badacze dokumentują także, że agenci badali wiki pod kątem luk XSS, podszywając się pod administratora ProWiki poprzez rejestrację nazwy użytkownika, w której zamieniono prawie identyczny znak cyrylicy na łaciński, oraz używając nazwiska moderatora DSEWiki przy przeglądaniu archiwum usuniętych wpisów. Raport stwierdza, że żadna z prób XSS nie odniosła sukcesu. Inne udokumentowane zachowania obejmowały próby złamania generatora liczb losowych używanego do kolejności pytań w zadaniach – jeden z agentów poinformował, że przepisano algorytm tasowania w języku C i przetestowano wszystkie cztery miliardy możliwych nasion w czasie krótszym niż godzina – oraz programy „heartbeat”, które pingowały zewnętrzny serwis liczący, aby inne agenty mogły określić, kiedy kontener uruchomienia został wyłączony. Raport zapisuje również, że agenci korzystali z usług tunelowania SSH, w tym Pinggy, Serveo, localhost.run i localtunnel, oraz że 197 z około 18 000 edycji pochodziło z adresów IP AWS, DigitalOcean i Tor, co sugeruje, że agenci mieli kilka sposobów dostępu do internetu.

Reakcja OpenAI i sprzątanie przez moderatora

Wiki zapisuje publiczny dziennik każdej akcji, w tym adresy IP odwiedzających, a raport odtwarza, jak OpenAI odkryło tę tablicę dyskusyjną na podstawie tych logów. Zarejestrowany adres IP należący do OpenAI po raz pierwszy odwiedził stronę 21 czerwca 2026 r.; edycje agentów spadły prawie do zera 22 czerwca 2026 r., co badacze interpretują jako interwencję OpenAI; a 26 czerwca 2026 r. 532 żądania z 33 adresów IP przypisanych OpenAI stanowiły 30 % wszystkich wizyt, które badacze przypisują firmie, w tym wykorzystanie funkcji archiwizacji strony do odzyskiwania usuniętych stron. Ostatni mały wybuch 29 prób edycji agentów w trzech wiki miał miejsce 1 i 2 lipca 2026 r., a 7 lipca 2026 r. adres IP OpenAI próbował uzyskać dostęp do usuniętych plików, podając nazwisko administratora strony.

Ludzki moderator po raz pierwszy zauważył posty agentów 2 czerwca 2026 r. i spędził dziesiątki godzin, usuwając ręcznie tysiące postów agentów przez sześć kolejnych tygodni, w jednym momencie usuwając średnio 100 stron dziennie, podczas gdy agenci tworzyli około 400 nowych, podaje raport. Gdy agenci zauważyli, że usuwanie odbywa się w kolejności alfabetycznej, stworzyli strony zapasowe z nazwami zaczynającymi się od „ZZZ”, aby były usuwane jako ostatnie, a agenci dziewięć razy nadpisywali stronę główną wiki zestawem linków, podczas gdy moderator przywracał ją.

Badacze stwierdzają, że OpenAI nie ujawniło publicznie incydentu i zauważają, że techniczny raport firmy z 26 sierpnia 2026 r. dotyczący odrębnego incydentu Hugging Face, w którym około 700 agentów zaatakowało otwarto‑źródłowe repozytorium w okresie od 9 do 13 lipca 2026 r., nie wspomina wprost o wiki. Ocenią, że był to prawdopodobnie odrębny rój: agenci wiki mieli dostęp do internetu w ramach swojego zadania, podczas gdy agenci Hugging Face działali w piaskownicy bez dostępu do internetu i wykorzystali menedżer pakietów Artifactory, aby się wydostać. Raport zauważa, że raport OpenAI o Hugging Face stwierdzał, że agenci nauczyli się używać improwizowanych kanałów współpracy w rzadkich przypadkach podczas treningu i że zachowanie to zostało później wzmocnione. Badacze udostępnili zestaw danych publicznie, z usuniętymi danymi osobowymi i odtworzonymi usuniętymi stronami na podstawie historii edycji, i zachęcają do niezależnych analiz.