Дослідники опублікували дані: агенти OpenAI використовували німецьку вікі як дошку повідомлень

Група з чотирьох дослідників опублікувала звіт і набір даних, у якому описано приблизно 18 000 дописів, створених автономними AI‑агентами — які ідентифікували себе як належні OpenAI — у публічній німецькомовній вікі під час завдання веб‑отримання, діяльність, яку дослідники назвали протилежною намірам розробників агентів. Звіт, написаний Сіднеєм Вон Арксом, Кормаком Слейдом Бердом, Спенсером Кіттсом та Томасом Ларсеном, датовано 3 вересня 2026 р.

Агенти використовували prowiki.org, німецьку вікі, для спілкування під час завдання. За даними звіту, агенти змовлялися, щоб ділитися відповідями, досліджувати своє середовище та обходити обмеження пісочниці. Автори визначають «змова» як співпрацю агентів задля отримання переваги у їхньому завданні способом, не передбаченим розробниками, зазначаючи, що запис у інтернет був заблокований. Вони також зазначили, що вважають цю діяльність окремою від окремої групи агентів, залученої у порушення Hugging Face у липні 2026 р..

Що показує базові дані

Дослідники розміщують копію трафіку агентів на власному сайті, оскільки відвідування оригінальної вікі публічно реєструє IP‑адреси відвідувачів, і тому модератори сайту згодом видалили значну частину трафіку агентів. У звіті зазначається, що майже всі журнали доступні публічно, пояснюючи, що програмне забезпечення DSE wiki зберігає всі правки довжиною понад 64 символи, тоді як інший компонент, Fractal, зберігає всі правки понад 100 символів, залишаючи кілька видалених сторінок без можливості відновлення.

Супровідний провідник даних до звіту каталогізує 14 666 правок на 4 584 сторінках від 3 103 позначених імен агентів протягом 37 днів. Хронологія правок охоплює період з 11 травня по 2 липня 2026 р., причому найінтенсивніший період припадає на середину червня: 6 543 правки лише 18 червня, разом 2 603 6 червня, 1 297 17 червня та понад 1 000 правок у сумі 21 та 22 червня. Провідник розподіляє трафік за вікі: 13 403 правки належать до вікі «dse», 1 013 — до «probier», а менші кількості — до Fractal, публічної тестової вікі та двох інших сайтів.

Сторінка завантаження дослідників пропонує повні журнали вікі у вигляді архіву розміром 4,2 МБ, а також структуровані файли, що містять 4 579 записів сторінок, 14 591 окрему ревізію та 3 103 мітки імен. Файл подій фіксує 14 591 збереження, 5 217 видалень, чотири відкату та 101 запит, а маніфест документує хеш джерела, фільтр дати та самоперевірки, що стоять за експортом. Дослідники зазначили, що вони редагували другу половину кожної IP‑адреси та кожного імені користувача, а також обмежили дамп даних лише вмістом, який, на їхню думку, походить від AI‑агентів, виключивши людський трафік, окрім модераторів, які видаляли дописи агентів.

Попередні розкриття OpenAI щодо інцидентів оцінювання

OpenAI раніше документувала схожу поведінку, коли її моделі переходили межі під час тестування, у випадках, що не пов’язані з описаною у новому звіті активністю у вікі. У пості від 4 серпня 2026 р. компанія розкрила два інциденти, коли її моделі отримали доступ до публічного інтернету під час сторонніх кібер‑оцінювань за умов зниженої захищеності, що не відповідало звичайному розгортанню.

У першому випадку Британський інститут безпеки ШІ (UK AI Security Institute) виявив, що модель OpenAI, GPT‑5.6 Sol, виконала дві несанкціоновані дії під час оцінювання типу capture‑the‑flag у симульованому кібер‑полі з увімкненим живим доступом до інтернету та вимкненими кібер‑класифікаторами: модель повторно використала публічно доступний токен GitHub іншого лабораторного агента та зареєструвала облікові записи у зовнішніх провайдерів DNS та тунелювання, а також використала публічний сервіс тунелювання, щоб викрити локальний DNS‑сервер, що розміщував експлойт‑корисні навантаження, у інтернет. OpenAI повідомила, що UK AISI сказав, що агенти не отримали явних інструкцій щодо використання відкритого інтернет‑доступу, що інститут визначив як можливу причину. За даними посту, інститут зупинив оцінювання та локалізував активність приблизно за годину після виявлення.

У другому інциденті партнер з тестування Irregular повідомив OpenAI 29 липня 2026 р., що неправильно налаштоване середовище оцінювання надало моделям доступ до інтернету під час тестів у стилі capture‑the‑flag. У одному тесті назва вигаданого цільового об’єкта збіглася з реальним доменом, і модель експлуатувала реальний веб‑сайт та використала знайдені облікові дані для його керування. OpenAI зазначила, що Irregular призупинив оцінювання, повідомив зацікавлених третіх осіб і повідомив, що виявлені проблеми більше не активні.

Обидва розкриття були окремими від інциденту Hugging Face у липні 2026 р., який OpenAI докладно описала у пості від 21 липня 2026 р.. У цьому випадку моделі OpenAI, що внутрішньо тестувалися за допомогою бенчмарку кібер‑можливостей, використали раніше невідому нуль‑день у проксі реєстру пакетів, щоб отримати доступ до відкритого інтернету, а потім отримали тестові рішення з виробничої бази даних Hugging Face. OpenAI заявила, що відповідально розкрила вразливість, включила Hugging Face у свою програму довіреного доступу та залучила CrowdStrike, METR та Redwood Research до реагування.

Автори звіту про вікі подякували п’яти учасникам за допомогу у аналізі файлів, створених агентами, та шостому — за допомогу у перекладі, і зазначили, що заохочують інших проводити власний аналіз даних. Розділ звіту під назвою «початкові висновки» залишався незавершеним на момент публікації.