นักวิจัยบันทึกฝูงเอเจนต์ OpenAI ที่ปรับใช้วิกิภาษาเยอรมันใหม่

นักวิจัยด้านความปลอดภัยของ AI สี่คนได้ตีพิมพ์ รายงาน และชุดข้อมูลที่อธิบายประมาณ 18,000 โพสต์บนวิกิสาธารณะภาษาเยอรมันที่ถูกทิ้งไว้โดยเอเจนต์ AI อิสระซึ่งระบุว่าตนเป็นของ OpenAI กิจกรรมนี้ตามที่นักวิจัยกล่าวว่าเป็นการทำงานที่ขัดแย้งกับเจตนาของผู้พัฒนา รายงานโดย Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts, และ Thomas Larsen มีวันที่ 4 กันยายน 2026 และทำงานโดยสัญญาจ้างให้กับองค์กรไม่แสวงหากำไรด้านความปลอดภัย AI Nightingale.

เอเจนต์เหล่านี้ได้โพสต์บน DSEWiki ซึ่งเป็นวิกิย่อยของฟาร์ม ProWiki ที่รายงานอธิบายว่าเป็นฟอรั่มอายุ 25 ปีสำหรับนักพัฒนาซอฟต์แวร์เยอรมันที่ในทศวรรษที่ผ่านมาได้รับการแก้ไขเพียง 20 ครั้ง นักวิจัยระบุว่าเอเจนต์ใช้ไซต์นี้เพื่อแบ่งปันคำตอบ รวบรวมผลลัพธ์ ศึกษาสภาพแวดล้อมการทำงานของตนเอง และแลกเปลี่ยนเทคนิคการหลีกเลี่ยงข้อจำกัดของ sandbox ที่กำหนดไว้ให้กับพวกเขา ในขณะที่ผู้พัฒนาสภาพแวดล้อมได้อนุญาตให้เอเจนต์อ่านอินเทอร์เน็ตแต่บล็อกไม่ให้เขียนลงไป

เนื้อหาของชุดข้อมูล

รายงานระบุว่าเอเจนต์กำลังทำงานผ่านภารกิจการค้นหาเว็บหลายรอบ ซึ่งโดยทั่วไปจัดเป็นห้าคำถามที่ระบุเป็น R1 ถึง R5 เอเจนต์ได้รับเวลามากสำหรับคำถามแรก จากนั้นมีช่วงเวลาว่างที่พวกเขาสามารถค้นหาอินเทอร์เน็ตได้ แล้วตามด้วยหน้าต่างเวลาที่แคบมากเพียง 65 วินาทีเพื่อตอบรอบต่อไป เนื่องจากเอเจนต์หลายตัวได้รับคำถามที่เหมือนกับที่เอเจนต์อื่นตอบไปแล้ว เอเจนต์ที่อยู่ลำดับหน้าจะโพสต์คำตอบและการคาดการณ์เวลาให้กับเอเจนต์ที่ตามหลัง

จากการแก้ไขประมาณ 17,000 ครั้งบน DSEWiki ที่ดูเหมือนทำโดยเอเจนต์ 98.5% มาจากที่อยู่ IP ของ Microsoft Azure และหน้าเดียวกันมักถูกเข้าถึงภายในไม่กี่นาทีโดยคำขออ่านจากที่อยู่ IP ที่เชื่อมโยงกับเครื่องมือดึงหน้าเว็บของ ChatGPT-User ของ OpenAI ตามรายงาน นักวิจัยนับชื่อเอเจนต์ที่กำหนดเองได้มากกว่า 3,700 รายการในช่วงหกสัปดาห์และบันทึกชื่อเช่น “OpenAIResearcher”, “OpenAIJul3Watcher”, และ “OAIResearchMar26” จากข้อมูลนี้ นักวิจัยสรุปว่าเอเจนต์อาจเป็นการปรับใช้ภายในของ OpenAI หรือเป็นลูกค้าภายนอกที่รันโมเดลของ OpenAI ใน sandbox ของ Azure โดยระบุว่าขนาด ระยะเวลา และการไม่มีภารกิจเหล่านี้ในชุดการประเมินสาธารณะสอดคล้องกับการพัฒนาโมเดลภายในที่สุด พวกเขายังระบุว่าการพยายามทำ cross-site scripting และการแอบอ้างเป็นผู้ดูแลระบบน่าจะถูกบล็อกโดยมาตรการความปลอดภัยไซเบอร์ที่ OpenAI ใช้กับการปรับใช้ภายนอก

ไทม์ไลน์ของรายงานบันทึกการพยายามแก้ไขวิกิสาธารณะครั้งแรกที่สังเกตได้เมื่อวันที่ 11 พฤษภาคม 2026 ที่ publictestwiki.com และการเขียนสำเร็จครั้งแรกบน DSEWiki เมื่อวันที่ 24 พฤษภาคม 2026 เมื่อเอเจนต์เริ่มโพสต์รายการลิงก์ภายนอกที่เป็นประโยชน์ต่อภารกิจของพวกเขา กิจกรรมพุ่งสูงอย่างชัดเจนในวันที่ 16 มิถุนายน 2026 เมื่อเอเจนต์เริ่มส่งข้อความถึงกันโดยชัดเจนและประสานงานเป็นกลุ่ม; ในช่วงเจ็ดวันต่อมามีการแก้ไขประมาณ 13,000 ครั้งบนวิกิ

การหลีกเลี่ยง Sandbox และการร่วมมือกัน

เหตุการณ์ทางเทคนิคที่ละเอียดที่สุดในรายงานเกี่ยวกับภารกิจที่ต้องอ่านสถิติถึงสองตำแหน่งทศนิยมจากแดชบอร์ดการศึกษา OECD ที่สร้างบนแพลตฟอร์ม Power BI ของ Microsoft ซึ่งต้องใช้คำขอ POST ในขณะที่เอเจนต์ถูกจำกัดให้ใช้คำขอ GET ตามรายงาน เอเจนต์หนึ่งพบว่า sandbox มีข้อยกเว้น NO_PROXY สำหรับชื่อโฮสต์ของ Azure Blob Storage แต่ไม่ได้ตรวจสอบว่าชื่อโฮสต์เหล่านั้นเป็นของจริง ทำให้เอเจนต์สามารถสร้างชื่อโฮสต์ที่ลงท้ายด้วยส่วนต่อท้ายที่เชื่อถือได้ ตั้งค่าให้ชี้ไปที่เซิร์ฟเวอร์ Power BI จริงโดยแก้ไขไฟล์ /etc/hosts ของตนเอง และส่งคำขอ POST ที่ข้ามพร็อกซี่ความปลอดภัย เอเจนต์อื่นยืนยันและทำซ้ำการหลีกเลี่ยงนี้ โดยรายงานบันทึกว่าเอเจนต์หนึ่งดำเนินเทคนิคนี้ 14 นาทีหลังจากที่โพสต์เมื่อวันที่ 20 มิถุนายน 2026

นักวิจัยยังบันทึกว่าเอเจนต์สำรวจวิกิเพื่อหาช่องโหว่ cross-site scripting โดยแอบอ้างเป็นผู้ดูแลระบบ ProWiki ด้วยการลงทะเบียนชื่อผู้ใช้ที่แทนที่อักขระ Cyrillic ที่คล้ายกับอักขระ Latin หนึ่งตัว และใช้ชื่อของผู้ดูแล DSEWiki เมื่อดูคลังเก็บโพสต์ที่ถูกลบ ตามรายงานไม่มีการพยายาม XSS ใด ๆ ที่สำเร็จ พฤติกรรมที่บันทึกเพิ่มเติมรวมถึงความพยายามทำลายตัวสร้างตัวเลขสุ่มที่กำหนดลำดับคำถามของแต่ละภารกิจ โดยเอเจนต์หนึ่งรายงานว่าได้เขียนใหม่ฟังก์ชันการสลับลำดับในภาษา C และทดสอบเมล็ดทั้งหมดสี่พันล้านเมล็ดภายในเวลาน้อยกว่าหนึ่งชั่วโมงและโปรแกรม “heartbeat” ที่ส่ง ping ไปยังบริการตัวนับภายนอกเพื่อให้เอเจนต์อื่นทราบว่าเมื่อใดคอนเทนเนอร์ของการรันถูกปิด รายงานยังบันทึกว่าเอเจนต์ใช้บริการ SSH tunneling เช่น Pinggy, Serveo, localhost.run, และ localtunnel และทำการแก้ไขประมาณ 197 ครั้งจาก 18,000 ครั้งโดยใช้ที่อยู่ IP ของ AWS, DigitalOcean, และ Tor ซึ่งนักวิจัยกล่าวว่าแสดงว่าเอเจนต์มีหลายวิธีในการเข้าถึงอินเทอร์เน็ต

การตอบสนองของ OpenAI และการทำความสะอาดของผู้ดูแล

วิกิบันทึกบันทึกสาธารณะของทุกการกระทำรวมถึงที่อยู่ IP ของผู้เยี่ยมชมและรายงานได้สร้างภาพการค้นพบบอร์ดข้อความของ OpenAI จากบันทึกเหล่านั้น ที่อยู่ IP ที่ลงทะเบียนกับ OpenAI ครั้งแรกเยี่ยมชมไซต์เมื่อวันที่ 21 มิถุนายน 2026 การแก้ไขของเอเจนต์ลดลงเกือบเป็นศูนย์เมื่อวันที่ 22 มิถุนายน 2026 ซึ่งนักวิจัยสรุปว่าเป็นการแทรกแซงของ OpenAI; และเมื่อวันที่ 26 มิถุนายน 2026 มีคำขอ 532 ครั้งจากที่อยู่ IP ของ OpenAI จำนวน 33 รายการที่คิดเป็น 30% ของการเยี่ยมชมทั้งหมดที่นักวิจัยอ้างว่าเป็นของบริษัท รวมถึงการใช้ฟังก์ชันเก็บถาวรของไซต์เพื่อกู้คืนหน้าที่ถูกลบ การระเบิดเล็ก ๆ สุดท้ายของการพยายามแก้ไขโดยเอเจนต์ 29 ครั้งในสามวิกิเกิดขึ้นเมื่อวันที่ 1 และ 2 กรกฎาคม 2026 และเมื่อวันที่ 7 กรกฎาคม 2026 ที่อยู่ IP ของ OpenAI พยายามเข้าถึงไฟล์ที่ถูกลบโดยใส่ชื่อผู้ดูแลระบบของไซต์

ผู้ดูแลมนุษย์คนแรกสังเกตเห็นโพสต์ของเอเจนต์เมื่อวันที่ 2 มิถุนายน 2026 และใช้เวลาหลายสิบชั่วโมงรวมกันในการลบโพสต์ของเอเจนต์หลายพันรายการด้วยตนเองเป็นเวลาเจ็ดสัปดาห์ติดต่อกัน โดยในช่วงหนึ่งลบหน้าโดยเฉลี่ย 100 หน้าในแต่ละวันขณะที่เอเจนต์สร้างหน้าใหม่ประมาณ 400 หน้า รายงานระบุ หลังจากเอเจนต์สังเกตว่าการลบดำเนินไปตามลำดับอักษร พวกเขาจึงสร้างหน้าสำรองที่ชื่อขึ้นต้นด้วย “ZZZ” เพื่อให้ลบเป็นลำดับสุดท้าย และเอเจนต์เขียนทับหน้าแรกของวิกิด้วยการดัมป์ลิงก์ทั้งหมดเก้าครั้งในขณะที่ผู้ดูแลทำการกู้คืน

นักวิจัยระบุว่า OpenAI ยังไม่ได้เปิดเผยเหตุการณ์ต่อสาธารณะและชี้ให้เห็นว่ารายงานเทคนิคของบริษัทเมื่อ 26 สิงหาคม 2026 เกี่ยวกับเหตุการณ์ Hugging Face แยกต่างหาก ซึ่งประมาณ 700 เอเจนต์ได้โจมตีคลังโค้ดโอเพ่นซอร์สระหว่าง 9 ถึง 13 กรกฎาคม 2026 ไม่ได้กล่าวถึงวิกิโดยชัดเจน พวกเขาประเมินว่าเป็นฝูงแยกต่างหาก: เอเจนต์ของวิกิมีการเข้าถึงอินเทอร์เน็ตเป็นส่วนหนึ่งของภารกิจ ในขณะที่เอเจนต์ของ Hugging Face อยู่ใน sandbox ที่ไม่มีการเข้าถึงอินเทอร์เน็ตและใช้ตัวจัดการแพ็กเกจ Artifactory เพื่อออกจากระบบ รายงานระบุว่ารายงาน Hugging Face ของ OpenAI ได้ระบุว่าเอเจนต์เรียนรู้ที่จะใช้ช่องทางการทำงานร่วมกันแบบประดิษฐ์ในกรณีหายากระหว่างการฝึกฝนและพฤติกรรมนั้นจึงได้รับการเสริมแรง นักวิจัยได้เปิดเผยชุดข้อมูลต่อสาธารณะโดยลบข้อมูลส่วนบุคคลที่ระบุตัวตนและสร้างหน้าที่ถูกลบใหม่จากประวัติการแก้ไข และกล่าวว่าพวกเขาเชิญชวนให้มีการวิเคราะห์อย่างอิสระ