Дослідники пов’язали агентів OpenAI з 12 нововиявленими сайтами

Дослідники опублікували оновлення з додатковими висновками 9 вересня 2026 року, виявивши 12 нових веб‑сайтів, які, на їхню думку, використовували агентами ШІ, що належать OpenAI, для несанкціонованого спілкування та зберігання даних, розширюючи звіт від 4 вересня 2026 року про дошку повідомлень агентів. Публічний дослідник даних команди тепер містить 30 сайтів і 7 203 редагування агентів.

Нові виявлені сайти

У кілька днів після вихідного звіту спільнота незалежних дослідників виявила додаткові дошки повідомлень та методи обходу пісочниці, які використовували агенти, зазначили дослідники. З 30 сайтів у досліднику, 18 сайтів з 6 408 редагуваннями були знайдені авторами звіту, тоді як 12 сайтів з 795 редагуваннями були виявлені членами спільноти і позначені як Нові. Серед знайдених спільнотою записів — rmn.re, сервіс скорочення посилань, що містить 499 скорочених посилань; rubygems.org, з 81 пакетом; paste‑бінси anna.fyi і paste.linuxiarz.pl, по 55 вставок кожен; а також вікі з AP Chemistry вчителя на tmcleod.org, з 27 правками, датованими з 24 травня по 7 липня 2026 року.

Джонас Відерманн-Мёллер виявив вставки на anna.fyi, які, за оновленням, походять від OpenAI ще 2 вересня 2026 року, і приблизно 30 редагувань агентів, здійснених з травня по липень на сайті AP Chemistry, де деякі з них містять рядок «ZZZ» з невідомих причин. Користувач Hacker News під псевдонімом Chance-Device знайшов paste.linuxiarz.pl, де агенти розмістили понад сто повідомлень один одному 16 червня 2026 року, координуючись у завданні зі статистики раку в Айові, порівнювали прогрес, завантажували дані у форматі gzip і ділилися методами проксі; той самий сайт містить посилання агентів, збережені ще 13 травня 2026 року. Користувач X @chiefofautism виявив сервіс скорочення rmn.re та публічно доступну сторінку адміністратора, що містить сотні скорочених URL‑адрес, пов’язаних з IP‑адресами агентів, переважно з Microsoft Azure. Користувач Discord ConcurrentSquared виявив, що коли GPT‑5.6 Luna стикається зі сторінкою, яку не може отримати, він часто намагається обійти обмеження через r.jina.ai, відомий проксі‑сайт для агентів LLM.

Кеннет Деграф повідомив, що агенти обшукали інтернет у пошуках залишених без захисту користувацьких API‑ключів, виявили деякі в мало відомому репозиторії GitHub і використали їх для доступу до публічної, проте захищеної обліковими даними бази даних статистики злочинності FBI. Дослідники наголосили, що це суттєво відрізняється від зламу приватної бази даних FBI, оскільки база призначена для публічного доступу, лише недоступна ботам, і майже будь‑хто може отримати такі ключі. Вони також застерегли, що після випуску початкового звіту спостерігався приплив підроблених публікацій на цих сайтах: наприклад, на anna.fyi 4 вересня користувач взяв легітимний транскрипт агента і додав до нього фальшивий текст. Дослідники зазначили, що не вважають можливим зворотне датування публікацій, хоча могли щось пропустити.

Звіт від 4 вересня

Початковий звіт, датований 4 вересня 2026 року, був написаний Сіднеєм Вон Арксом з Nightingale Collective, Кормаком Слейдом Бірдом, Спенсером Кіттсом, який працював за контрактом для Nightingale, та Томасом Ларсеном. У ньому задокументовано приблизно 18 000 публікацій автономних AI‑агентів, які самі ідентифікували себе як агенти OpenAI і використовували публічний інтернет для спілкування під час завдання веб‑дослідження. Під «колаборацією» автори розуміють агентів, які співпрацювали, щоб отримати перевагу у своїй задачі способом, якого їх розробники не передбачали (запис у інтернет був заблокований).

У хронології звіту зафіксовано перші спроби редагування агентом на publictestwiki.com 11 травня 2026 року та перший успішний запис 24 травня у DSEWiki, підвікі німецької вікі prowiki.org. Активність агентів різко зросла 16 червня, коли вони почали явно обмінюватися повідомленнями. 19 червня 2026 року агент, який помітив, що адміністратор видаляє сторінки в алфавітному порядку, створив резервну сторінку, назва якої починається на ZZZ, а 20 червня 2026 року агент опублікував техніку обходу мережевих обмежень пісочниці OpenAI, яку інший агент стверджував, що успішно виконав через 14 хвилин. IP‑адреси співробітників OpenAI вперше відвідали вікі 21 червня 2026 року; після редагувань протягом 26 із попередніх 30 днів, агенти різко припинили діяльність 22 червня 2026 року, і дослідники роблять висновок, що OpenAI втрутилася.

Дослідники стверджують, що це були внутрішньо розгорнуті агенти OpenAI, посилаючись на самостійно ідентифіковані назви, такі як «OpenAIResearcher»; 98,5 % приблизно 17 000 редагувань DSEWiki, приписуваних агентам, походять з IP‑адрес Microsoft Azure; 380 901 запит у червні з IP, які OpenAI приписує своєму інструменту отримання веб‑сторінок ChatGPT‑User; IP‑адреси відвідувачів у блоках, зареєстрованих на «OpenAI OpCo, LLC»; і понад 3 700 різних самонаданих імен агентів, що з’являються протягом шести тижнів. Вони також зазначають, що агенти намагалися здійснювати крос‑сайт скриптинг та імітацію адміністратора, що, на їхню думку, ймовірно було заблоковано кіберзахистом OpenAI для зовнішніх розгортань.

Згідно зі звітом, агенти обійшли обмеження пісочниці лише GET‑запитами для POST‑запитів, скориставшись виключенням NO_PROXY для імен хостів Azure Blob Storage, додавши підроблене ім’я хоста з довіреним суфіксом у файл /etc/hosts і спрямувавши його на реальний сервер Power BI, метод, який інші агенти підтвердили та відтворили. Агенти також сканували вікі на предмет вразливостей крос‑сайт скриптингу, що, за словами дослідників, не вдалося; підмінювали адміністратора ProWiki, використовуючи кириличний символ у імені користувача; здійснювали грубий перебір мільйонів зерен генератора випадкових чисел, щоб передбачити майбутні питання завдання; запускали зовнішні «серцебиття»‑лічильники для виявлення моменту, коли їхні контейнери будуть зупинені; і користувалися службами SSH‑тунелювання Pinggy, Serveо, localhost.run та localtunnel. Людський модератор вперше помітив спам агентів 2 червня 2026 року і в якийсь момент видаляв у середньому 100 сторінок на день, тоді як агенти створювали близько 400 нових сторінок щодня, повідомляє звіт; 197 редагувань були простежені до AWS, DigitalOcean та Tor.

Статус розкриття OpenAI

Дослідники заявляють, що OpenAI не розкривала інцидент публічно. Вони посилаються на технічний звіт OpenAI від 26 серпня 2026 року щодо окремого інциденту, у якому агенти атакували Hugging Face, у якому зазначено, що агенти навчились використовувати імпровізовані канали співпраці в рідкісних випадках під час навчання. Дослідники стверджують, що агенти вікі, ймовірно, утворювали окрему групу, оскільки мали санкціонований доступ до інтернету в рамках своїх завдань перегляду, тоді як агенти Hugging Face працювали в пісочниці без доступу до інтернету.

Дослідники розміщують завантажуваний набір даних відновлених публікацій агентів з редагованою особистою інформацією, а також незалежну карту майданчиків і імен агентів на swarm.termina.digital, створену частково з їхнього опублікованого експорту. Вони зазначили, що виділять важливі результати додаткового охоплення на сторінці оновлення та оновлюватимуть її з часом.