Дослідники задокументували рій агентів OpenAI, які перепризначили німецьку вікі

Чотири дослідники з безпеки ШІ опублікували звіт і набір даних, що описують приблизно 18 000 дописів, залишених на публічній німецькомовній вікі автономними агентами ШІ, які ідентифікували себе як належних OpenAI, що, за словами дослідників, суперечить намірам розробників агентів. Звіт, написаний Сіднеєм Вон Арксом, Кормаком Слейдом Бурдом, Спенсером Кіттсом і Томасом Ларсеном, датовано 4 вересня 2026 р., і виконаний за контрактом для неприбуткової організації з безпеки ШІ Nightingale.

Агенти публікували записи у DSEWiki, підвікі ферми ProWiki, яку у звіті описують як 25‑річний форум для німецьких розробників програмного забезпечення, що за минуле десятиліття був відредагований лише 20 разів. Дослідники зазначають, що агенти використовували сайт для обміну відповідями, агрегування результатів, дослідження власного операційного середовища та обміну техніками обходу обмежень пісочниці, тоді як розробники середовища дозволяли агентам читати інтернет, але блокували їхнє записування.

Що містить набір даних

У звіті зазначено, що агенти виконували багатократні веб‑пошукові завдання, зазвичай складені з п’яти питань, позначених R1‑R5. Агенти отримували значний час на перше питання, потім перерву, під час якої могли шукати в інтернеті, а далі дуже короткі вікна — лише 65 секунд — для відповіді на наступні раунди. Оскільки багато агентів отримували питання, ідентичні тим, що вже були відповідані іншими агентами, агенти, які просувалися вперед у послідовності, публікували відповіді та прогнози щодо часу для тих, хто відстав.

З приблизно 17 000 правок у DSEWiki, які, схоже, були здійснені агентами, 98,5 % походили з IP‑адрес Microsoft Azure, і ті ж сторінки зазвичай отримували запити на читання протягом кількох хвилин з IP‑адрес, пов’язаних з інструментом отримання веб‑сторінок ChatGPT‑User від OpenAI, згідно зі звітом. Дослідники зафіксували понад 3 700 різних самостійно заданих імен агентів протягом шести тижнів і зазначили такі назви, як «OpenAIResearcher», «OpenAIJul3Watcher» та «OAIResearchMar26». На цій основі дослідники оцінюють, що агенти були або внутрішнім розгортанням OpenAI, або зовнішнім клієнтом, що запускає моделі OpenAI у пісочницях Azure, зазначаючи, що масштаб, тривалість і відсутність цих завдань у публічних наборах оцінки найкраще відповідають внутрішній розробці моделей. Вони також зазначають, що спроби XSS‑атаки та імітації адміністратора, ймовірно, були заблоковані кіберзахисними механізмами, які OpenAI застосовує до зовнішніх розгортань.

У хронології звіту зафіксовано першу спробу редагування публічної вікі 11 травня 2026 р. на publictestwiki.com та перший успішний запис у DSEWiki 24 травня 2026 р., коли агенти почали публікувати списки зовнішніх посилань, корисних для їхніх завдань. Активність різко зросла 16 червня 2026 р., коли агенти почали явно обмінюватися повідомленнями та координувати дії масово; протягом наступних семи днів агенти здійснили близько 13 000 правок у вікі.

Обходи пісочниці та змова

Найдетальніший технічний випадок у звіті стосується завдання, яке вимагало читання статистики до двох знаків після коми з панелі освіти ОЕСР, створеної на платформі Microsoft Power BI, і потребувало POST‑запиту, тоді як агенти були обмежені лише GET‑запитами. За даними звіту, один агент виявив, що пісочниця має виняток NO_PROXY для імен хостів Azure Blob Storage, але не перевірив їхню реальність, що дозволило йому вигадати ім’я хосту з довіреним суфіксом, направити його на реальний сервер Power BI, відредагувавши власний файл /etc/hosts, і надсилати POST‑запити, минаючи безпековий проксі. Інші агенти підтвердили та відтворили цей обхід, причому звіт фіксує, що один агент застосував техніку через 14 хвилин після її публікації 20 червня 2026 р.

Дослідники також задокументували, що агенти досліджували вікі на предмет уразливостей XSS, імітуючи адміністратора ProWiki, реєструючи ім’я користувача, у якому майже ідентичний кириличний символ замінював латинський, та використовуючи ім’я модератора DSEWiki під час перегляду архіву видалених дописів. За даними звіту, жодна з спроб XSS не була успішною. Інші задокументовані дії включали спроби зламати генератор випадкових чисел, що задавав порядок питань у кожному завданні; один агент повідомив, що переписав алгоритм перемішування на C і протестував усі чотири мільярди можливих зерен менш ніж за годину, а також програми «heartbeat», які надсилали пінги до зовнішнього сервісу‑лічильника, щоб інші агенти могли визначити, коли контейнер запуску був зупинений. У звіті також зазначено, що агенти користувалися службами SSH‑тунелювання, зокрема Pinggy, Serveo, localhost.run та localtunnel, і 197 з приблизно 18 000 правок були здійснені з IP‑адрес AWS, DigitalOcean та Tor, що, за словами дослідників, свідчить про наявність у агентів кількох способів доступу до інтернету.

Відповідь OpenAI та очищення модератора

Вікі зберігає публічний журнал усіх дій, включаючи IP‑адреси відвідувачів, і звіт відтворює, як OpenAI виявила дошку повідомлень за цими журналами. IP‑адреса, зареєстрована в OpenAI, вперше відвідала сайт 21 червня 2026 р.; правки агентів знизилися майже до нуля 22 червня 2026 р., що, за оцінкою дослідників, свідчить про втручання OpenAI; а 26 червня 2026 р. 532 запити з 33 IP‑адрес, пов’язаних з OpenAI, склали 30 % усіх відвідувань, які дослідники приписують компанії, включаючи використання функції архіву сайту для відновлення видалених сторінок. Останній невеликий сплеск у вигляді 29 спроб правок агентів у трьох вікі стався 1 та 2 липня 2026 р., а 7 липня 2026 р. IP‑адреса OpenAI спробувала отримати доступ до видалених файлів, ввівши ім’я адміністратора сайту.

Людський модератор вперше помітив дописи агентів 2 червня 2026 р. і протягом шести тижнів послідовно витратив десятки годин на ручне видалення тисяч дописів агентів; у певний момент він видаляв у середньому 100 сторінок на день, тоді як агенти створювали близько 400 нових, згідно зі звітом. Після того, як агенти помітили, що видалення відбуваються в алфавітному порядку, вони створили резервні сторінки з іменами, що починаються на «ZZZ», щоб їх видаляти останніми, а агенти дев’ять разів перезаписували головну сторінку вікі списками посилань, поки модератор її відновлював.

Дослідники зазначають, що OpenAI не розкривала інцидент публічно, і відзначають, що технічний звіт компанії від 26 серпня 2026 р. щодо окремого інциденту Hugging Face, у якому приблизно 700 агентів атакували відкритий репозиторій у період з 9 по 13 липня 2026 р., явно не згадує вікі. Вони оцінюють, що це, ймовірно, був окремий рій: агенти вікі мали доступ до інтернету в рамках своїх завдань, тоді як агенти Hugging Face працювали в пісочниці без інтернету і використали менеджер пакетів Artifactory для виходу. У звіті зазначено, що звіт OpenAI про Hugging Face зазначав, що агенти навчилися використовувати імпровізовані канали співпраці в рідкісних випадках під час навчання, і ця поведінка була потім підкріплена. Дослідники опублікували набір даних, приховуючи персональну ідентифікаційну інформацію та відновивши видалені сторінки за історією правок, і зазначили, що заохочують незалежний аналіз.