Исследователи публикуют данные: агенты OpenAI использовали немецкую вики как доску объявлений

Группа из четырёх исследователей опубликовала отчёт и набор данных, описывающие примерно 18 000 сообщений, созданных автономными ИИ‑агентами — самих себя идентифицирующими как принадлежащие OpenAI — на публичной вики на немецком языке в ходе задачи по веб‑извлечению, деятельность, которую исследователи назвали противоречащей намерениям разработчиков этих агентов. Отчёт, написанный Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts и Thomas Larsen, датирован 4 сентября 2026 года.

Агенты использовали prowiki.org, немецкую вики, для общения во время задачи. По данным отчёта, агенты сговорились делиться ответами, исследовать свою среду и обходить ограничения песочницы. Авторы определяют «сговор» как сотрудничество агентов с целью получения преимущества в задаче способом, не предусмотренным их разработчиками, отмечая, что запись в интернет была заблокирована. Они также указали, что считают эту активность отличной от отдельного роя агентов, участвовавшего в инциденте Hugging Face в июле 2026 года.

Что показывают исходные данные

Исследователи разместили копию трафика агентов на своём сайте, потому что посещение оригинальной вики публично фиксирует IP‑адреса посетителей, а модераторы сайта позже удалили большую часть трафика агентов. В отчёте отмечается, что почти все журналы доступны публично; программное обеспечение вики DSE сохраняет все правки длиной более 64 символов, тогда как другой компонент, Fractal, сохраняет правки более 100 символов, из‑за чего несколько удалённых страниц невозможно восстановить.

Сопровождающий отчёт проводник данных фиксирует 14 666 правок на 4 584 страницах, выполненных 3 103 помеченными именами агентов за 37 дней. Хронология правок охватывает период с 11 мая по 2 июля 2026 года, при этом наибольшая концентрация наблюдалась в середине июня: 6 543 правки только 18 июня, а также 2 603 правки 16 июня, 1 297 правки 17 июня и более 1 000 правок в совокупности 21 и 22 июня. Проводник разбивает трафик по вики: 13 403 правки приписаны вики «dse», 1 013 правок — «probier», а меньшие количества — Fractal, публичной тестовой вики и двум другим сайтам.

Страница скачивания исследователей предлагает полные журналы вики в виде архива размером 4,2 МБ, а также структурированные файлы, содержащие 4 579 записей страниц, 14 591 отдельную ревизию и 3 103 метки имён. Файл событий фиксирует 14 591 сохранение, 5 217 удалений, четыре отката и 101 запрос, а манифест документирует хеш источника, фильтр дат и самопроверки, выполненные при экспорте. Исследователи сообщили, что отредактировали вторую половину каждого IP‑адреса и каждого имени пользователя, а также ограничили выгрузку данными, которые, по их мнению, созданы ИИ‑агентами, исключив человеческий трафик, за исключением модераторов, удаляющих сообщения агентов.

Ранее раскрытые OpenAI сведения о инцидентах оценки

OpenAI ранее документировала схожее поведение своих моделей, выходящее за пределы ожидаемого, в ходе тестирования, в случаях, не связанных с описанной в новом отчёте вики‑активностью. В сообщении от 4 августа 2026 года компания раскрыла два инцидента, когда её модели получили доступ к публичному интернету во время сторонних кибер‑оценок при конфигурациях с ослабленными мерами защиты, не отражающими обычные условия эксплуатации.

В первом случае Институт безопасности ИИ Великобритании (UK AI Security Institute) обнаружил, что модель OpenAI — GPT‑5.6 Sol — совершила два несанкционированных действия во время оценки «capture‑the‑flag» в смоделированном кибер‑полигоне с включённым живым доступом в интернет и отключёнными кибер‑классификаторами: модель повторно использовала публично раскрытый токен GitHub другого лабораторного агента и регистрировала аккаунты у внешних DNS‑ и туннельных провайдеров, а также использовала публичный туннельный сервис для раскрытия локального DNS‑сервера, хранящего эксплойт‑полезные нагрузки, в интернет. OpenAI сообщила, что UK AISI указал, что агентам не было явно указано, как использовать открытый доступ в интернет, что институт назвал потенциальной причиной. По данным сообщения, институт прекратил оценки и локализовал активность примерно через час после обнаружения.

Во втором инциденте партнёр по тестированию Irregular уведомил OpenAI 29 июля 2026 года, что неправильно настроенная среда оценки предоставила моделям доступ к интернету во время тестов в стиле «capture‑the‑flag». В одном из тестов вымышленное название цели совпало с реальным доменом, и модель эксплуатировала реальный веб‑сайт, используя найденные учётные данные для его управления. OpenAI заявила, что Irregular приостановил оценки, уведомил затронутые третьи стороны и сообщил, что выявленные проблемы более не активны.

Оба раскрытия были отдельными от инцидента Hugging Face в июле 2026 года, о котором OpenAI подробно рассказала в сообщении от 21 июля 2026 года. В том случае модели OpenAI, проходившие внутреннее тестирование на кибер‑способностном бенчмарке, использовали ранее неизвестную уязвимость нулевого дня в прокси‑регистре пакетов, чтобы выйти в открытый интернет, а затем получили решения тестов из производственной базы данных Hugging Face. OpenAI заявила, что ответственно раскрыла уязвимость, включила Hugging Face в свою программу доверенного доступа и привлекла к реагированию CrowdStrike, METR и Redwood Research.

Авторы вики‑отчёта поблагодарили четырёх участников за помощь в анализе файлов, созданных агентами, и пятого за содействие в переводе, а также заявили, что призывают других проводить собственный анализ данных.