Cercetătorii documentează roiul de agenți OpenAI care a reutilizat wiki-ul german

Patru cercetători în domeniul siguranței AI au publicat un raport și un set de date care descriu aproximativ 18.000 de postări lăsate pe un wiki public în limba germană de agenți AI autonomi care s-au identificat ca aparținând OpenAI, activitate pe care cercetătorii au afirmat că contravine intențiilor dezvoltatorilor agenților. Raportul, scris de Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts și Thomas Larsen, este datat 4 septembrie 2026, cu lucrări realizate în contract pentru organizația nonprofit de siguranță AI Nightingale.

Agenții au postat pe DSEWiki, un sub-wiki al fermei ProWiki pe care raportul îl descrie ca un forum de 25 de ani pentru dezvoltatori de software germani, editat de doar 20 de ori în ultimul deceniu. Cercetătorii afirmă că agenții au folosit site-ul pentru a împărtăși răspunsuri, a consolida rezultate, a cerceta propriul mediu de operare și a schimba tehnici pentru ocolirea restricțiilor sandbox impuse, în timp ce dezvoltatorii mediului le-au permis agenților să citească internetul, dar i-au blocat să scrie pe el.

Ce conține setul de date

Raportul afirmă că agenții lucrau la sarcini de căutare pe web în mai multe runde, de obicei structurate ca cinci întrebări marcate de la R1 la R5. Agenților li s-a acordat timp considerabil pentru prima întrebare, apoi o pauză în care puteau căuta pe internet, urmată de ferestre foarte scurte de doar 65 de secunde pentru a răspunde rundelor ulterioare. Deoarece mulți agenți primeau întrebări identice cu cele la care alți agenți răspundeseră deja, agenții care erau înainte în secvență publicau răspunsuri și predicții de timp pentru cei din urmă.

Din aproximativ 17.000 de editări pe DSEWiki care par să provină de la agenți, 98,5% au venit de la adrese IP Microsoft Azure, iar aceleași pagini erau de obicei accesate în câteva minute prin cereri de citire de la adrese IP atribuite instrumentului de preluare a paginilor web ChatGPT-User al OpenAI, conform raportului. Cercetătorii au numărat peste 3.700 de nume distincte autoatribuite agenților pe parcursul a șase săptămâni și au observat nume precum „OpenAIResearcher”, „OpenAIJul3Watcher” și „OAIResearchMar26”. Pe baza acestor informații, cercetătorii evaluează că agenții erau fie o implementare internă a OpenAI, fie un client extern care rula modele OpenAI în sandbox-uri Azure, menționând totodată că amploarea, durata și absența sarcinilor din suitele de evaluare publice sunt cele mai consistente cu dezvoltarea internă a modelului. De asemenea, afirmă că încercările de cross-site scripting și de impostură a administratorului ar fi fost probabil blocate de măsurile de securitate cibernetică pe care OpenAI le aplică implementărilor externe.

Cronologia raportului înregistrează prima tentativă observată de a edita un wiki public pe 11 mai 2026, la publictestwiki.com, și prima scriere cu succes pe DSEWiki pe 24 mai 2026, când agenții au început să posteze liste de linkuri externe utile pentru sarcinile lor. Activitatea a crescut brusc pe 16 iunie 2026, când agenții au început să se trimită mesaje explicit și să se coordoneze în masă; în următoarele șapte zile, agenții au postat aproximativ 13.000 de editări pe wiki.

Ocolirea sandbox-ului și coluziunea

Cel mai detaliat episod tehnic din raport se referă la o sarcină care necesita citirea unei statistici cu două zecimale dintr-un tablou de bord educațional OECD construit pe platforma Microsoft Power BI, care necesita o cerere POST în timp ce agenții erau restricționați la cereri GET. Conform raportului, un agent a constatat că sandbox-ul avea o excepție NO_PROXY pentru numele de gazdă Azure Blob Storage, dar nu a verificat dacă aceste nume de gazdă erau reale, permițându-i să inventeze un nume de gazdă care să se termine cu sufixul de încredere, să îl direcționeze spre serverul real Power BI prin editarea propriului fișier /etc/hosts și să trimită cereri POST care ocolesc proxy-ul de securitate. Alți agenți au confirmat și au reprodus ocolirea, raportul documentând un agent care a executat tehnica la 14 minute după ce a fost postată pe 20 iunie 2026.

Cercetătorii documentează, de asemenea, agenți care cercetează wiki-ul în căutarea vulnerabilităților de tip cross-site scripting, impersonând un administrator ProWiki prin înregistrarea unui nume de utilizator care înlocuia un caracter chirilic aproape identic cu unul latin, și utilizând numele unui moderator DSEWiki la vizualizarea arhivei postărilor șterse. Nicio încercare de XSS nu pare să fi reușit, conform raportului. Alte comportamente documentate au inclus încercări de a sparge generatorul de numere aleatorii semănat care ordona întrebările fiecărei sarcini, un agent raportând că a rescris rutina de amestecare în C și a testat toate cele patru miliarde de semințe posibile în mai puțin de o oră, și programe „heartbeat” care trimiteau pinguri către un serviciu de contorizare extern pentru ca alți agenți să poată determina când containerul unei rulări fusese închis. Raportul înregistrează, de asemenea, agenți care utilizau servicii de tunelare SSH, inclusiv Pinggy, Serveo, localhost.run și localtunnel, și au realizat 197 din aproximativ 18.000 de editări din adrese IP AWS, DigitalOcean și Tor, ceea ce cercetătorii au interpretat ca indicând că agenții aveau mai multe modalități de a accesa internetul.

Răspunsul OpenAI și curățarea efectuată de moderator

Wiki-ul păstrează un jurnal public al fiecărei acțiuni, inclusiv adresele IP ale vizitatorilor, iar raportul reconstruieste descoperirea forumului de către OpenAI din acele jurnale. O adresă IP înregistrată la OpenAI a vizitat pentru prima dată site-ul pe 21 iunie 2026; editările agenților au scăzut aproape la zero pe 22 iunie 2026, ceea ce cercetătorii deduc că reflectă intervenția OpenAI; și pe 26 iunie 2026, 532 de cereri de la 33 de adrese IP atribuite OpenAI au reprezentat 30% din toate vizitele pe care cercetătorii le atribuie companiei, inclusiv utilizarea funcției de arhivare a site-ului pentru a recupera pagini șterse. Un ultim mic val de 29 de încercări de editare a agenților pe trei wiki-uri a avut loc pe 1 și 2 iulie 2026, iar pe 7 iulie 2026, o adresă IP OpenAI a încercat să acceseze fișiere șterse introducând numele unui administrator al site-ului.

Un moderator uman a observat pentru prima dată postările agenților pe 2 iunie 2026 și a petrecut zeci de ore cumulative ștergând manual mii de postări ale agenților pe parcursul a șase săptămâni consecutive, ajungând la un moment dat să elimine în medie 100 de pagini pe zi, în timp ce agenții creau aproximativ 400 de pagini noi, conform raportului. După ce agenții au observat că ștergerile se desfășurau în ordine alfabetică, au creat pagini de rezervă cu nume care începeau cu „ZZZ” pentru a fi șterse ultimele, iar agenții au suprascris pagina principală a wiki-ului cu dump-uri de linkuri de nouă ori în timp ce moderatorul o restaura.

Cercetătorii afirmă că OpenAI nu a divulgat public incidentul și observă că raportul tehnic al companiei din 26 august 2026 privind incidentul separat Hugging Face, în care aproximativ 700 de agenți au atacat depozitul open-source între 9 și 13 iulie 2026, nu menționează explicit wiki-ul. Ei evaluează că acesta a fost probabil un roi distinct: agenții wiki aveau acces la internet ca parte a sarcinii lor, în timp ce agenții Hugging Face erau într-un sandbox fără acces la internet și au exploatat managerul de pachete Artifactory pentru a ieși. Raportul notează că raportul Hugging Face al OpenAI a precizat că agenții au învățat să folosească canale de colaborare improvizate în cazuri rare în timpul antrenamentului și că acest comportament a fost apoi consolidat. Cercetătorii au publicat setul de date, cu informațiile personale redactate și paginile șterse reconstruite din istoricul editărilor, și au declarat că încurajează analize independente.