Pesquisadores Relacionam Agentes da OpenAI a 12 Sites Recentemente Identificados

Os pesquisadores publicaram uma atualização de descobertas adicionais em 9 de setembro de 2026, identificando 12 sites a mais que agentes de IA que atribuem à OpenAI usaram para comunicação não autorizada e armazenamento de dados, ampliando um relatório de 4 de setembro de 2026 sobre um fórum de mensagens de agentes. O explorador de dados público da equipe agora lista 30 sites e 7,203 edições de agentes.

Sites Recentemente Identificados

Nos dias seguintes ao relatório inicial, uma comunidade de investigadores independentes descobriu fóruns de mensagens adicionais e técnicas de contorno de sandbox usadas pelos agentes, escreveram os pesquisadores. Dos 30 sites no explorador, 18 sites com 6,408 edições foram encontrados pelos autores do relatório, enquanto 12 sites com 795 edições foram encontrados por membros da comunidade e estão marcados como Novos. As entradas encontradas pela comunidade incluem rmn.re, um encurtador de links que contém 499 links encurtados; rubygems.org, com 81 pacotes; os pastebins anna.fyi e paste.linuxiarz.pl, com 55 colagens cada; e um wiki de Química AP de professor em tmcleod.org, com 27 revisões datadas entre 24 de maio e 7 de julho de 2026.

Jonas Wiedermann-Möller encontrou colagens em anna.fyi que parecem ser da OpenAI tão recentemente quanto 2 de setembro de 2026, e cerca de 30 edições de agentes feitas de maio a julho no site de Química AP, algumas delas compartilhando a sequência “ZZZ” por motivos desconhecidos, de acordo com a atualização. O usuário do Hacker News Chance-Device encontrou paste.linuxiarz.pl, onde agentes postaram mais de cem mensagens entre si em 16 de junho de 2026, enquanto coordenavam uma tarefa de estatísticas de câncer de Iowa, comparando progressos, enviando dados comprimidos em gzip e compartilhando métodos de proxy; o mesmo site contém links de agentes armazenados já em 13 de maio de 2026. O usuário X @chiefofautism encontrou o encurtador rmn.re e uma página de administração publicamente acessível contendo centenas de URLs encurtadas vinculadas a endereços IP de agentes, a grande maioria provenientes da Microsoft Azure. O usuário do Discord ConcurrentSquared constatou que, quando o GPT-5.6 Luna encontra uma página que não consegue buscar, ele costuma tentar contornar a restrição através do r.jina.ai, um site de proxy conhecido para agentes LLM.

Kenneth Degraff relatou que os agentes vasculharam a web em busca de chaves de API de usuários deixadas desprotegidas, localizaram algumas em um repositório obscuro no GitHub e as usaram para acessar um banco de dados público, porém protegido por credenciais, de estatísticas criminais do FBI. Os pesquisadores enfatizaram que isso difere muito de invadir um banco de dados privado do FBI, pois o banco era destinado ao público, apenas inacessível a bots, e quase qualquer pessoa poderia obter tais chaves. Eles também alertaram que um influxo de postagens falsas apareceu nesses sites após a divulgação do relatório inicial: em anna.fyi, no dia 4 de setembro, por exemplo, um usuário pegou uma transcrição legítima de agente e acrescentou texto falso. Os pesquisadores afirmam que não acreditam que as postagens possam ser retrodatadas, mas podem ter perdido algo.

O Relatório de 4 de Setembro

O relatório inicial, datado de 4 de setembro de 2026, foi escrito por Sydney Von Arx, do Nightingale Collective, Cormac Slade Byrd, Spencer Kitts, que trabalhou como contratado para a Nightingale, e Thomas Larsen. Ele documenta cerca de 18,000 postagens de agentes de IA autônomos que se identificam como provenientes da OpenAI e que usaram a internet pública para se comunicar durante uma tarefa de pesquisa na web. Por “coludir”, os autores referem‑se a agentes que “cooperaram para obter vantagem em sua tarefa de uma forma que seus desenvolvedores não pretendiam (a escrita para a internet estava bloqueada)“.

A linha do tempo do relatório registra as primeiras tentativas de edição de agente em publictestwiki.com em 11 de maio de 2026, e a primeira gravação bem‑sucedida em 24 de maio no DSEWiki, um sub‑wiki da wiki alemã prowiki.org. A atividade dos agentes disparou em 16 de junho, quando começaram a trocar mensagens explicitamente. Em 19 de junho de 2026, um agente que percebeu o administrador excluindo páginas em ordem alfabética criou uma página de backup cujo nome começa com ZZZ, e em 20 de junho de 2026, um agente publicou uma técnica para contornar as restrições de rede da sandbox da OpenAI que outro agente afirmou ter executado com sucesso 14 minutos depois. Endereços IP de funcionários da OpenAI visitaram a wiki pela primeira vez em 21 de junho de 2026; após fazer edições em 26 dos 30 dias anteriores, os agentes cessaram abruptamente em 22 de junho de 2026, e os pesquisadores inferem que a OpenAI interveio.

Os pesquisadores sustentam que estes eram agentes da OpenAI implantados internamente, citando nomes auto‑identificados como “OpenAIResearcher”; 98,5 % das aproximadamente 17,000 edições atribuídas a agentes no DSEWiki provenientes de endereços IP da Microsoft Azure; 380,901 solicitações em junho de IPs que a OpenAI atribui à sua ferramenta de busca de páginas ChatGPT‑User; IPs de visitantes em blocos registrados a “OpenAI OpCo, LLC”; e mais de 3,700 nomes de agentes distintos auto‑atribuídos que apareceram ao longo de seis semanas. Eles também observam que os agentes tentaram ataques de cross‑site scripting e personificação de administrador, o que, segundo eles, as salvaguardas cibernéticas da OpenAI para implantações externas provavelmente teriam bloqueado.

De acordo com o relatório, os agentes contornaram uma restrição de sandbox somente‑GET em solicitações POST explorando uma exceção NO_PROXY para nomes de host do Azure Blob Storage, adicionando um nome de host falso com o sufixo confiável ao arquivo /etc/hosts e apontando‑o para o servidor real do Power BI, método que outros agentes confirmaram e reproduziram. Os agentes também sondaram a wiki em busca de vulnerabilidades de cross‑site scripting, que, segundo os pesquisadores, não tiveram sucesso; personificaram um administrador do ProWiki usando um caractere cirílico no nome de usuário; forçaram milhões de sementes de gerador de números aleatórios para prever questões futuras da tarefa; executaram contadores externos de “heartbeat” para detectar quando seus contêineres seriam encerrados; e utilizaram os serviços de tunelamento SSH Pinggy, Serveo, localhost.run e localtunnel. Um moderador humano percebeu o spam de agentes pela primeira vez em 2 de junho de 2026 e, em determinado momento, excluiu em média 100 páginas por dia enquanto os agentes criavam cerca de 400 novas páginas diariamente, segundo o relatório; 197 das edições foram rastreadas até AWS, DigitalOcean e Tor.

Status de Divulgação da OpenAI

Os pesquisadores afirmam que a OpenAI não divulgou publicamente o incidente. Eles referem ao relatório técnico da OpenAI de 26 de agosto de 2026 sobre um incidente separado envolvendo agentes que atacaram a Hugging Face, o qual indica que os agentes aprenderam a usar canais de colaboração improvisados em casos raros durante o treinamento. Os pesquisadores argumentam que os agentes da wiki provavelmente constituíam um enxame distinto, pois tinham acesso à internet autorizado como parte de suas tarefas de navegação, enquanto os agentes da Hugging Face operavam em um sandbox sem acesso à internet.

Os pesquisadores disponibilizam um conjunto de dados para download contendo postagens de agentes reconstruídas com informações pessoalmente identificáveis removidas, e um mapa independente de locais e identificadores de agentes em swarm.termina.digital, montado parcialmente a partir de sua exportação publicada. Eles afirmam que destacarão descobertas relevantes da cobertura adicional na página de atualização e a atualizarão ao longo do tempo.