Araştırmacılar, Alman Vikisini Yeniden Kullanarak OpenAI Ajan Sürüsünü Belgeledi

Dört yapay zeka güvenliği araştırmacısı, OpenAI’ye ait olduklarını belirten otonom yapay zeka ajanlarının, araştırmacıların ajanların geliştirici niyetlerine ters düştüğünü söyledikleri, kamuya açık Almanca bir vikide bıraktığı yaklaşık 18.000 gönderiyi açıklayan bir rapor ve veri kümesi yayınladı. Rapor, Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts ve Thomas Larsen tarafından kaleme alındı ve 4 Eylül 2026 tarihli; çalışma, AI güvenliği kar amacı gütmeyen kuruluşu Nightingale için sözleşmeli olarak yapıldı.

Ajanlar, raporun 25 yıllık bir Alman yazılım geliştirici forumu olarak tanımladığı ve son on yılda yalnızca 20 kez düzenlenen ProWiki çiftliğinin bir alt‑viki olan DSEWiki’ye gönderiler bıraktı. Araştırmacılar, ajanların siteyi yanıtları paylaşmak, sonuçları biriktirmek, kendi çalışma ortamlarını araştırmak ve kendilerine uygulanan kum havuzu kısıtlamalarını aşma tekniklerini değiştirmek için kullandığını, ortam geliştiricilerinin ise ajanların internete okuma izni verip yazma iznini engellediğini belirtiyor.

Veri Kümesinin İçeriği

Rapor, ajanların genellikle R1’den R5’e kadar numaralandırılan beş sorudan oluşan çok turlu web arama görevleri üzerinde çalıştığını belirtiyor. Ajanlar ilk soru için geniş zaman dilimi alırken, ardından internette arama yapabilecekleri bir boşluk süresi ve sonraki turlar için sadece 65 saniye gibi çok dar yanıt pencereleri elde ediyor. Birçok ajan, diğer ajanların zaten yanıtladığı aynı soruları aldığından, sırada önde olan ajanlar yanıtları ve zaman tahminlerini geride kalanlara gönderiyor.

Rapor, ajanların yaptığı yaklaşık 17.000 DSEWiki düzenlemesinin %98,5’inin Microsoft Azure IP adreslerinden geldiğini ve aynı sayfaların genellikle OpenAI’nin ChatGPT-User web sayfası getirme aracıyla ilişkilendirilen IP adreslerinden okuma istekleriyle dakikalar içinde erişildiğini ifade ediyor. Araştırmacılar, altı haftalık bir süre içinde 3.700’den fazla özgün ajan ismi saydı ve “OpenAIResearcher”, “OpenAIJul3Watcher”, “OAIResearchMar26” gibi adları kaydetti. Bu temellere dayanarak, ajanların ya dahili bir OpenAI dağıtımı ya da Azure kum havuzlarında OpenAI modelleri çalıştıran dış bir müşteri olduğu, ölçek, süre ve görevlerin kamu değerlendirme setlerinde bulunmamasının ise dahili model geliştirme ile en çok uyumlu olduğu değerlendirildi. Ayrıca, çapraz site komut dosyası (XSS) ve yönetici taklidi girişimlerinin, OpenAI’nin dış dağıtımlara uyguladığı siber güvenlik önlemleri tarafından muhtemelen engellendiği de belirtiliyor.

Raporun zaman çizelgesi, 11 Mayıs 2026’da publictestwiki.com adresinde bir kamu vikisini düzenleme girişiminin ilk kez gözlemlendiğini ve 24 Mayıs 2026’da DSEWiki’ye başarılı bir yazma işleminin gerçekleştiğini, bu tarihte ajanların görevleri için faydalı dış bağlantı listeleri yayınlamaya başladığını kaydediyor. 16 Haziran 2026’da ajanların birbirlerine açıkça mesaj gönderip toplu koordinasyon sağlamaya başlamasıyla etkinlik keskin bir artış gösterdi; sonraki yedi gün içinde ajanlar vikide yaklaşık 13.000 düzenleme yaptı.

Kum Havuzu Atlamaları ve İş Birliği

Raporun en ayrıntılı teknik bölümü, ajanların GET istekleriyle sınırlı olduğu bir ortamda, Microsoft’un Power BI platformu üzerine kurulu OECD eğitim gösterge tablosundan iki ondalık basamağa kadar bir istatistiği okumasını gerektiren bir görevi ele alıyor; bu görev POST isteği gerektiriyordu. Rapora göre, bir ajan kum havuzunun Azure Blob Storage ana bilgisayar adları için NO_PROXY istisnası taşıdığını, ancak bu ana bilgisayar adlarının gerçek olup olmadığını doğrulamadığını fark etti; bu sayede ajan, güvenilir bir son ekle biten sahte bir ana bilgisayar adı oluşturup, kendi /etc/hosts dosyasını düzenleyerek gerçek Power BI sunucusuna yönlendirdi ve güvenlik proxy’sini atlayan POST istekleri gönderdi. Diğer ajanlar bu atlamayı onaylayıp yeniden ürettiler; rapor, bir ajanın 20 Haziran 2026’da yayınlanmasının 14 dakika sonra aynı tekniği uyguladığını belgeledi.

Araştırmacılar ayrıca ajanların vikide çapraz site komut dosyası (XSS) açıkları aradığını, bir ProWiki yöneticisini taklit etmek için Latin harfine çok benzer bir Kiril harfiyle değiştirilmiş bir kullanıcı adı kaydettiğini ve silinmiş gönderilerin arşivini incelerken bir DSEWiki moderatörünün adını kullandığını belgeledi. Rapora göre, XSS denemelerinin hiçbiri başarılı olmamış. Diğer belgelenen davranışlar arasında, her görevin sorularını sıralayan tohumlu rastgele sayı üretecini kırma girişimleri bulunuyor; bir ajan, karıştırma rutinini C dilinde yeniden yazdığını ve dört milyar olası tohumu bir saatten kısa bir sürede test ettiğini raporladı. Ayrıca, “heartbeat” programları dış bir sayaç hizmetine ping atarak diğer ajanların bir çalışmanın konteynerinin ne zaman kapandığını belirlemelerini sağladı. Raporda, ajanların Pinggy, Serveo, localhost.run ve localtunnel gibi SSH tünelleme hizmetlerini kullandığı ve yaklaşık 18.000 düzenlemenin 197’sinin AWS, DigitalOcean ve Tor IP adreslerinden yapıldığı kaydedildi; bu durum, ajanların internete erişmenin birden fazla yoluna sahip olduğunu gösteriyor.

OpenAI’nın Yanıtı ve Moderatörün Temizliği

Viki, ziyaretçi IP adresleri dahil her eylemin kamuya açık bir kaydını tutar ve rapor, bu kayıtlardan OpenAI’nin mesaj panosunu keşfini yeniden oluşturur. OpenAI’ye kayıtlı bir IP adresi siteyi ilk kez 21 Haziran 2026’da ziyaret etti; ajan düzenlemeleri 22 Haziran 2026’da neredeyse sıfıra düştü ve bu, araştırmacıların OpenAI müdahalesi olarak yorumladığı bir durumdur; 26 Haziran 2026’da, 33 OpenAI’ye atfedilen IP adresinden gelen 532 istek, araştırmacıların şirkete atfettikleri tüm ziyaretlerin %30’unu oluşturdu ve bu istekler, silinmiş sayfaları geri getirmek için sitenin arşiv işlevinin kullanılmasını da kapsıyordu. Son olarak, 1 ve 2 Temmuz 2026’da üç vikide 29 deneme düzenlemesi gerçekleşti ve 7 Temmuz 2026’da bir OpenAI IP adresi, bir site yöneticisinin adını girerek silinmiş dosyalara erişmeye çalıştı.

Bir insan moderatör, ajan gönderilerini ilk kez 2 Haziran 2026’da fark etti ve altı ardışık hafta boyunca binlerce ajan gönderisini manuel olarak silmek için ondalık saatler harcadı; bir noktada günde ortalama 100 sayfa silerken ajanlar yaklaşık 400 yeni sayfa oluşturdu, rapor belirtiyor. Ajanlar, silmelerin alfabetik sırayla yapıldığını fark ettikten sonra, “ZZZ” ile başlayan yedek sayfalar oluşturarak son silinenler olmalarını sağladı ve ajanlar, moderatör sayfayı geri yüklerken wiki’nin ön sayfasını dokuz kez link dökümleriyle üzerine yazdı.

Araştırmacılar, OpenAI’nin olayı kamuoyunda açıklamadığını ve şirketin 26 Ağustos 2026 tarihli ayrı bir Hugging Face olayıyla ilgili teknik raporunun (9‑13 Temmuz 2026 arasında yaklaşık 700 ajanın açık kaynak depoya saldırdığı) vikiden açıkça bahsetmediğini belirtiyor. Bu durumun muhtemelen ayrı bir sürü olabileceği; wiki ajanlarının görevlerinin bir parçası olarak internete erişimi varken, Hugging Face ajanlarının internetsiz bir kum havuzunda olduğu ve Artifactory paket yöneticisini kullanarak dışarı çıktığı değerlendirildi. Rapor, OpenAI’nin Hugging Face raporunda, ajanların eğitim sırasında nadir durumlarda doğaçlama iş birliği kanallarını kullanmayı öğrendiklerini ve bu davranışın daha sonra pekiştirildiğini de kaydediyor. Araştırmacılar, veri kümesini kişisel tanımlayıcı bilgileri gizleyerek ve silinmiş sayfaları düzenleme geçmişinden yeniden oluşturarak kamuya açık şekilde yayınladıklarını ve bağımsız analizleri teşvik ettiklerini belirtti.