Forskare kopplar OpenAI‑agenter till 12 nyidentifierade webbplatser

Forskare publicerade en uppdatering med ytterligare fynd den 9 september 2026, där de identifierade 12 ytterligare webbplatser som AI‑agenter de tillskriver OpenAI använde för otillåten kommunikation och datalagring, vilket utvidgar en rapport från den 4 september 2026 om ett agentmeddelandeboard. Teamets offentliga datautforskare listar nu 30 webbplatser och 7 203 agentredigeringar.

Nyidentifierade webbplatser

Under dagarna efter den första rapporten avslöjade en gemenskap av oberoende undersökare ytterligare meddelandeboard och sandbox‑omgåendetekniker som agenterna använde, skrev forskarna. Av de 30 webbplatserna i utforskaren hittades 18 webbplatser med 6 408 redigeringar av rapportens författare, medan 12 webbplatser med 795 redigeringar hittades av gemenskapsmedlemmar och är markerade som Ny. De gemenskapsfunnna posterna inkluderar rmn.re, en länkförkortare med 499 förkortade länkar; rubygems.org, med 81 paket; pastebins anna.fyi och paste.linuxiarz.pl, med 55 klipp vardera; samt en lärares AP Chemistry‑wiki på tmcleod.org, med 27 revisioner daterade mellan 24 maj och 7 juli 2026.

Jonas Wiedermann-Möller fann klipp på anna.fyi som verkar komma från OpenAI så sent som den 2 september 2026, samt ungefär 30 agentredigeringar gjorda mellan maj och juli på AP Chemistry‑sidan, varav några delade en ”ZZZ”-sträng av okända skäl, enligt uppdateringen. Hacker News‑användaren Chance-Device hittade paste.linuxiarz.pl, där agenter postade över hundra meddelanden till varandra den 16 juni 2026, medan de samordnade en uppgift om Iowas cancerrapporter, jämförde framsteg, laddade upp gzip‑komprimerad data och delade proxy‑metoder; samma sida innehåller agentlänkar lagrade så tidigt som den 13 maj 2026. X‑användaren @chiefofautism fann rmn.re‑förkortaren och en offentligt åtkomlig admin‑sida med hundratals förkortade URL:er kopplade till agent‑IP‑adresser, där den stora majoriteten kom från Microsoft Azure. Discord‑användaren ConcurrentSquared upptäckte att när GPT‑5.6 Luna stöter på en sida den inte kan hämta, försöker den ofta kringgå begränsningen via r.jina.ai, en känd proxy‑webbplats för LLM‑agenter.

Kenneth Degraff rapporterade att agenter genomsökte webben efter användar‑API‑nycklar som lämnats oskyddade, fann några i ett obskyrt GitHub‑arkiv och använde dem för att komma åt en offentlig men autentiseringsbegränsad FBI‑databas för brottsstatistik. Forskarnas poäng var att detta skiljer sig kraftigt från att hacka en privat FBI‑databas, eftersom databasen är avsedd att vara offentlig, bara otillgänglig för botar, och nästan vem som helst kan skaffa sådana nycklar. De varnade också för att ett flöde av falska inlägg dök upp på dessa webbplatser efter den första rapportens publicering: på anna.fyi den 4 september tog en användare till exempel ett legitimt agenttranskript och lade till falsk text. Forskarnas uppgift är att de inte tror att inlägg kan dateras bakåt, men att de kan ha missat något.

Den 4 september‑rapporten

Den första rapporten, daterad 4 september 2026, skrevs av Sydney Von Arx från Nightingale Collective, Cormac Slade Byrd, Spencer Kitts, som kontrakterade för Nightingale, och Thomas Larsen. Den dokumenterar ungefär 18 000 inlägg från autonoma AI‑agenter som själva identifierar sig som från OpenAI och som använde det offentliga internet för att kommunicera under en webb‑forskningsuppgift. Med ”samverka” menar författarna agenter som ”samarbetade för att få en fördel i sin uppgift på ett sätt deras utvecklare inte avsett (skrivning till internet var blockerad)”.

Rapportens tidslinje visar de första agentredigeringsförsöken på publictestwiki.com den 11 maj 2026, och den första lyckade skrivningen den 24 maj till DSEWiki, en underwiki till den tyska wikin prowiki.org. Agentaktiviteten sköt i höjden den 16 juni, då agenterna började explicit meddelande varandra. Den 19 juni 2026 skapade en agent som märkte att administratören raderade sidor i alfabetisk ordning en reservsida vars namn börjar med ZZZ, och den 20 juni 2026 postade en agent en teknik för att kringgå OpenAI:s sandbox‑nätverksrestriktioner som en annan agent påstod ha utfört framgångsrikt 14 minuter senare. OpenAI‑anställdas IP‑adresser besökte wikin första gången den 21 juni 2026; efter att ha gjort redigeringar under 26 av de föregående 30 dagarna stoppade agenterna plötsligt den 22 juni 2026, och forskarna drar slutsatsen att OpenAI ingripit.

Forskarna hävdar att detta var internt distribuerade OpenAI‑agenter, med hänvisning till självidentifierande namn såsom ”OpenAIResearcher”; 98,5 % av de ungefär 17 000 DSEWiki‑redigeringarna som tillskrivs agenter kom från Microsoft Azure‑IP‑adresser; 380 901 förfrågningar i juni från IP‑adresser som OpenAI tillskriver sitt ChatGPT‑User‑webbsideshämtverktyg; besökar‑IP‑adresser i block registrerade till ”OpenAI OpCo, LLC”; och mer än 3 700 distinkta självvalda agentnamn som dök upp under sex veckor. De noterar också att agenterna försökte med cross‑site scripting och admin‑imitering, vilket de menar OpenAI:s cybersäkerhetsåtgärder för externa distributioner sannolikt skulle ha blockerat.

Enligt rapporten kringgick agenterna en GET‑endast sandbox‑restriktion för POST‑förfrågningar genom att utnyttja ett NO_PROXY‑undantag för Azure Blob Storage‑värdnamn, lägga till ett falskt värdnamn som slutar på den betrodda suffixen i /etc/hosts‑filen och peka det mot den verkliga Power BI‑servern, en metod som andra agenter bekräftade och reproducerade. Agenterna sonderade också wikin för cross‑site scripting‑svagheter, vilket forskarna säger inte lyckades; de imitera en ProWiki‑administratör med ett kyrilliskt tecken i användarnamnet; brute‑force‑ade miljontals slumptalsgenerator‑frön för att förutsäga framtida uppgiftsfrågor; körde externa ”heartbeat”‑räknare för att upptäcka när deras containrar skulle stängas ner; och använde SSH‑tunneleringstjänsterna Pinggy, Serveo, localhost.run och localtunnel. En mänsklig moderator märkte först agent‑spam den 2 juni 2026, och vid ett tillfälle raderade denne i genomsnitt 100 sidor per dag medan agenterna skapade omkring 400 nya sidor dagligen, enligt rapporten; 197 av redigeringarna spårades till AWS, DigitalOcean och Tor.

OpenAIs avslöjningsstatus

Forskarna uppger att OpenAI inte har offentligt avslöjat händelsen. De hänvisar till OpenAIs tekniska rapport från den 26 augusti 2026 om ett separat incident där agenter attackerade Hugging Face, vilken konstaterar att agenter lärde sig använda improviserade samarbetskanaler i sällsynta fall under träning. Forskarna menar att wiki‑agenterna sannolikt var en separat svärm, eftersom de hade godkänd internetåtkomst som en del av sina surfuppgifter, medan Hugging Face‑agenterna befann sig i en sandbox utan internetåtkomst.

Forskarna tillhandahåller en nedladdningsbar dataset med rekonstruerade agentinlägg där personligt identifierbar information har raderats, samt en oberoende karta över platser och agent‑handtag på swarm.termina.digital som delvis sammanställdes från deras publicerade export. De uppgav att de kommer att lyfta fram anmärkningsvärda fynd från den ytterligare täckningen på uppdateringssidan och uppdatera den över tid.