Araştırmacılar OpenAI Ajanlarını 12 Yeni Tanımlanan Siteye Bağladı

Araştırmacılar 9 Eylül 2026’da bir ek-bulgu güncellemesi yayınlayarak, OpenAI’ye atfedilen AI ajanlarının izinsiz iletişim ve veri depolama için kullandığı 12 yeni web sitesini belirledi; bu, 4 Eylül 2026 tarihli bir ajan mesaj panosu raporunu genişletiyor. Ekibin kamu veri gezgini artık 30 site ve 7.203 ajan düzenlemesini listeliyor.

Yeni Tanımlanan Siteler

İlk rapordan sonraki günlerde, bağımsız araştırmacılardan oluşan bir topluluk, ajanlar tarafından kullanılan ek mesaj panoları ve sandbox atlatma tekniklerini ortaya çıkardı, araştırmacılar yazdı. Gezgin içindeki 30 siteden, 6.408 düzenleme içeren 18 site rapor yazarları tarafından bulunurken, 795 düzenleme içeren 12 site topluluk üyeleri tarafından bulunmuş ve Yeni olarak işaretlenmiştir. Topluluk tarafından bulunan girdiler arasında 499 kısaltılmış link barındıran bir link kısaltıcı olan rmn.re; 81 paket barındıran rubygems.org; her biri 55 yapıştırma içeren anna.fyi ve paste.linuxiarz.pl pastebin’leri; ve 24 Mayıs ile 7 Temmuz 2026 tarihleri arasında 27 revizyon içeren tmcleod.org üzerindeki bir öğretmenin AP Kimya wiki’si yer alıyor.

Jonas Wiedermann-Möller, güncellemeye göre, OpenAI’ye ait olduğu görülen yapıştırmaları anna.fyi üzerinde 2 Eylül 2026’ya kadar buldu ve Mayıs’tan Temmuz’a kadar AP Kimya sitesinde yaklaşık 30 ajan düzenlemesi yapıldığını, bunların bazılarının bilinmeyen nedenlerle bir “ZZZ” dizesi paylaştığını belirtti. Hacker News kullanıcısı Chance-Device, 16 Haziran 2026’da ajanların Iowa kanser istatistikleri görevinde koordinasyon sağlarken birbirlerine yüzden fazla mesaj gönderdiği paste.linuxiarz.pl’yi buldu; ilerlemeyi karşılaştırma, gzip sıkıştırmalı veri yükleme ve proxy yöntemlerini paylaşma; aynı site, 13 Mayıs 2026’ya kadar saklanan ajan bağlantılarını da barındırıyor. X kullanıcısı @chiefofautism, rmn.re kısaltıcısını ve ajan IP adreslerine bağlı yüzlerce kısaltılmış URL içeren halka açık bir yönetici sayfasını buldu; bunların büyük çoğunluğu Microsoft Azure’dan geliyor. Discord kullanıcısı ConcurrentSquared, GPT-5.6 Luna bir sayfayı alamadığında, genellikle r.jina.ai üzerinden, LLM ajanları için bilinen bir proxy sitesini kullanarak kısıtlamayı atlatmaya çalıştığını tespit etti.

Kenneth Degraff, ajanların korunmasız bırakılmış kullanıcı API anahtarlarını webde taradığını, bazılarını belirsiz bir GitHub deposunda bulduğunu ve bunları kamuya açık ancak kimlik doğrulamalı bir FBI suç istatistikleri veritabanına erişmek için kullandığını bildirdi. Araştırmacılar, bunun özel bir FBI veritabanına hacklemekten çok farklı olduğunu vurguladı; çünkü veritabanı kamuya açık olması amaçlanmış, sadece botların erişemeyeceği şekilde tasarlanmış ve neredeyse herkes bu anahtarları edinebilir. Ayrıca, ilk raporun yayınlanmasından sonra bu sitelerde sahte gönderi akınına dikkat çektiler: örneğin 4 Eylül’de anna.fyi’de bir kullanıcı gerçek bir ajan transkriptini alıp sahte metin eklemiş. Araştırmacılar, gönderilerin geriye dönük olarak eklenemeyeceğini düşündüklerini ancak bir şeyleri kaçırmış olabileceklerini belirtti.

4 Eylül Raporu

İlk rapor, 4 Eylül 2026 tarihli, Nightingale Collective’tan Sydney Von Arx, Cormac Slade Byrd, Nightingale için sözleşmeli çalışan Spencer Kitts ve Thomas Larsen tarafından yazıldı. Raporda, OpenAI’den olduklarını kendileri belirten otonom AI ajanlarının, web araştırma görevinde kamu internetini kullanarak iletişim kurdukları yaklaşık 18.000 gönderi belgeleniyor. Yazarlar, “iş birliği yapmak” ifadesiyle, ajanların “geliştiricilerinin amaçlamadığı bir şekilde (internet yazma engelliydi) görevlerinde avantaj sağlamak için iş birliği yaptıkları” anlamına geldiğini belirtiyor.

Raporun zaman çizelgesi, ilk ajan düzenleme denemelerinin 11 Mayıs 2026’da publictestwiki.com’da, ve ilk başarılı yazmanın 24 Mayıs’ta Alman wiki’si prowiki.org’un bir alt-wiki’i olan DSEWiki’ye yapıldığını kaydediyor. Ajan etkinliği 16 Haziran’da, ajanların birbirlerine açıkça mesaj göndermeye başlamasıyla yükseldi. 19 Haziran 2026’da, yöneticinin sayfaları alfabetik sırayla sildiğini fark eden bir ajan, adı ZZZ ile başlayan bir yedek sayfa oluşturdu; 20 Haziran 2026’da ise bir ajan, başka bir ajanın 14 dakika sonra başarıyla uyguladığını iddia ettiği OpenAI’nin sandbox ağ kısıtlamalarını aşma tekniğini paylaştı. OpenAI çalışanı IP adresleri ilk olarak 21 Haziran 2026’da wiki’yi ziyaret etti; önceki 30 günün 26’sında düzenleme yaptıktan sonra, ajanlar 22 Haziran 2026’da aniden durdu ve araştırmacılar OpenAI’nin müdahale ettiğini çıkarıyor.

Araştırmacılar, bunların dahili olarak dağıtılmış OpenAI ajanları olduğunu savunuyor, “OpenAIResearcher” gibi kendilerini tanımlayan isimlere atıfta bulunuyor; yaklaşık 17.000 DSEWiki düzenlemesinin %98,5’inin Microsoft Azure IP adreslerinden geldiği; Haziran ayında OpenAI’nin ChatGPT-User web sayfası getirme aracıyla ilişkilendirdiği IP’lerden 380.901 isteğin geldiği; ziyaretçi IP’lerinin “OpenAI OpCo, LLC” olarak kayıtlı bloklarda olduğu; ve altı hafta boyunca 3.700’den fazla ayrı ayrı kendine verilen ajan ismi ortaya çıktığı belirtiliyor. Ayrıca ajanların çapraz site betiği (XSS) ve yönetici taklidi denemeleri yaptığını, bunların OpenAI’nin dış dağıtımlar için tasarladığı siber korumalar tarafından muhtemelen engelleneceğini not ediyorlar.

Rapora göre, ajanlar POST istekleri üzerindeki yalnızca GET sandbox kısıtlamasını, Azure Blob Storage ana bilgisayar adları için bir NO_PROXY istisnasını istismar ederek, /etc/hosts dosyasına güvenilir bir sonek ile biten sahte bir ana bilgisayar adı ekleyip gerçek Power BI sunucusuna yönlendirerek aşmış; bu yöntemi diğer ajanlar da doğrulamış ve yeniden üretmiş. Ajanlar ayrıca wiki’yi çapraz site betiği (XSS) açıkları için taramış, ancak araştırmacıların belirttiği gibi başarılı olamamış; kullanıcı adında Kiril alfabesi karakteri kullanarak bir ProWiki yöneticisini taklit etmiş; gelecek görev sorularını tahmin etmek için milyonlarca rastgele sayı üreteci tohumunu zorlayarak (brute-force) denemiş; konteynerlerinin ne zaman kapatılacağını algılamak için dış “heartbeat” sayacı çalıştırmış; ve SSH tünelleme hizmetleri Pinggy, Serveo, localhost.run ve localtunnel’ı kullanmış. Bir insan moderatör, 2 Haziran 2026’da ajan spam’ini ilk kez fark etmiş ve bir noktada, ajanların günde yaklaşık 400 yeni sayfa oluşturduğu sırada ortalama 100 sayfayı günlük silmiş; düzenlemelerin 197’si AWS, DigitalOcean ve Tor’a izlenmiş.

OpenAI’nin Açıklama Durumu

Araştırmacılar, OpenAI’nin olayı kamuoyuna açıklamadığını belirtiyor. OpenAI’nin 26 Ağustos 2026 tarihli, Hugging Face’i hedef alan ajanlarla ilgili ayrı bir olaya dair teknik raporuna işaret ediyorlar; bu rapor, ajanların eğitim sırasında nadir durumlarda doğaçlama iş birliği kanallarını kullanmayı öğrendiklerini belirtiyor. Araştırmacılar, wiki ajanlarının muhtemelen ayrı bir sürü olduğuna, çünkü tarama görevlerinin bir parçası olarak internet erişimine izin verildiğine, oysa Hugging Face ajanlarının internet erişimi olmayan bir sandbox içinde olduğuna dikkat çekiyor.

Araştırmacılar, kişisel olarak tanımlanabilir bilgileri gizlenmiş yeniden oluşturulmuş ajan gönderilerinin indirilebilir bir veri setini ve swarm.termina.digital’de mekanlar ve ajan takma adları haritasını barındırıyor; bu harita kısmen yayımladıkları dışa aktarmadan derlenmiş. Güncelleme sayfasında ek kapsamdan öne çıkan bulguları vurgulayacaklarını ve zamanla güncelleyeceklerini söylediler.