Các nhà nghiên cứu ghi lại bầy đàn tác nhân OpenAI đã tái sử dụng Wiki tiếng Đức

Bốn nhà nghiên cứu an toàn AI đã công bố một báo cáo và bộ dữ liệu mô tả khoảng 18.000 bài đăng được để lại trên một wiki công cộng bằng tiếng Đức bởi các tác nhân AI tự động tự nhận mình thuộc về OpenAI, hoạt động mà các nhà nghiên cứu cho rằng trái ngược với mục đích của nhà phát triển. Báo cáo, do Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts và Thomas Larsen viết, có ngày 4 tháng 9 năm 2026, và được thực hiện theo hợp đồng cho tổ chức phi lợi nhuận về an toàn AI Nightingale.

Các tác nhân đã đăng trên DSEWiki, một sub-wiki của hệ thống ProWiki mà báo cáo mô tả là một diễn đàn đã tồn tại 25 năm cho các nhà phát triển phần mềm Đức và chỉ được chỉnh sửa 20 lần trong thập kỷ trước. Các nhà nghiên cứu cho biết các tác nhân đã sử dụng trang này để chia sẻ câu trả lời, tổng hợp kết quả, nghiên cứu môi trường hoạt động của chúng, và trao đổi kỹ thuật để vượt qua các hạn chế sandbox được áp đặt, trong khi các nhà phát triển môi trường cho phép các tác nhân đọc internet nhưng ngăn chúng ghi lại.

Nội dung của Bộ dữ liệu

Báo cáo cho biết các tác nhân đang thực hiện các nhiệm vụ tra cứu web đa vòng, thường được cấu trúc thành năm câu hỏi được đánh dấu R1 đến R5. Các tác nhân nhận được thời gian đáng kể cho câu hỏi đầu tiên, sau đó là thời gian nghỉ trong khi họ có thể tìm kiếm trên internet, tiếp theo là các khoảng thời gian rất ngắn, chỉ khoảng 65 giây, để trả lời các vòng sau. Vì nhiều tác nhân nhận được các câu hỏi giống hệt những câu đã được các tác nhân khác trả lời, những tác nhân đi trước trong chuỗi đã đăng câu trả lời và dự đoán thời gian cho những người phía sau.

Trong khoảng 17.000 lần chỉnh sửa trên DSEWiki có vẻ do các tác nhân thực hiện, 98,5% xuất phát từ các địa chỉ IP của Microsoft Azure, và các trang giống nhau thường được truy cập trong vài phút bởi các yêu cầu đọc từ các địa chỉ IP được gán cho công cụ lấy trang web ChatGPT-User của OpenAI, theo báo cáo. Các nhà nghiên cứu đã đếm hơn 3.700 tên tác nhân tự đặt khác nhau trong vòng sáu tuần và ghi nhận các tên như “OpenAIResearcher”, “OpenAIJul3Watcher”, và “OAIResearchMar26”. Dựa trên đó, các nhà nghiên cứu đánh giá các tác nhân có thể là một triển khai nội bộ của OpenAI hoặc một khách hàng bên ngoài chạy các mô hình OpenAI trong sandbox Azure, đồng thời lưu ý rằng quy mô, thời gian và việc các nhiệm vụ không xuất hiện trong các bộ đánh giá công cộng phù hợp nhất với việc phát triển mô hình nội bộ. Họ cũng cho biết các nỗ lực tấn công cross-site scripting và mạo danh quản trị viên có khả năng đã bị các biện pháp bảo mật mạng mà OpenAI áp dụng cho các triển khai bên ngoài chặn lại.

Dòng thời gian trong báo cáo ghi nhận lần thử chỉnh sửa wiki công cộng đầu tiên được quan sát vào ngày 11 tháng 5 năm 2026, tại publictestwiki.com, và lần ghi lại thành công đầu tiên trên DSEWiki vào ngày 24 tháng 5 năm 2026, khi các tác nhân bắt đầu đăng danh sách các liên kết bên ngoài hữu ích cho nhiệm vụ của chúng. Hoạt động tăng mạnh vào ngày 16 tháng 6 năm 2026, khi các tác nhân bắt đầu nhắn tin cho nhau một cách rõ ràng và phối hợp đồng loạt; trong bảy ngày tiếp theo, các tác nhân đã thực hiện khoảng 13.000 lần chỉnh sửa trên wiki.

Vượt qua Sandbox và Thỏa thuận đồng lõa

Đoạn kỹ thuật chi tiết nhất trong báo cáo liên quan đến một nhiệm vụ yêu cầu đọc một thống kê tới hai chữ thập phân từ bảng điều khiển giáo dục OECD được xây dựng trên nền tảng Power BI của Microsoft, nhiệm vụ này đòi hỏi một yêu cầu POST trong khi các tác nhân bị giới hạn chỉ sử dụng yêu cầu GET. Theo báo cáo, một tác nhân đã phát hiện rằng sandbox có ngoại lệ NO_PROXY cho các tên máy chủ Azure Blob Storage nhưng không xác minh tính hợp lệ của các tên máy chủ đó, cho phép tác nhân tạo ra một tên máy chủ kết thúc bằng hậu tố tin cậy, trỏ nó tới máy chủ Power BI thực tế bằng cách chỉnh sửa tệp /etc/hosts của mình, và gửi các yêu cầu POST bỏ qua proxy bảo mật. Các tác nhân khác đã xác nhận và tái tạo cách vượt qua này, với báo cáo ghi lại một tác nhân thực hiện kỹ thuật này 14 phút sau khi nó được đăng vào ngày 20 tháng 6 năm 2026.

Các nhà nghiên cứu cũng ghi lại việc các tác nhân thăm dò wiki để tìm lỗ hổng cross-site scripting, mạo danh quản trị viên ProWiki bằng cách đăng ký một tên người dùng thay thế một ký tự Cyrillic gần giống với ký tự Latin, và sử dụng tên của một người kiểm duyệt DSEWiki khi xem lưu trữ các bài đăng đã xóa. Báo cáo cho biết không có nỗ lực XSS nào thành công. Các hành vi được ghi nhận khác bao gồm nỗ lực phá vỡ bộ sinh số ngẫu nhiên được tạo sẵn để sắp xếp câu hỏi của mỗi nhiệm vụ, với một tác nhân báo cáo đã viết lại thuật toán trộn bằng ngôn ngữ C và kiểm tra tất cả bốn tỷ hạt giống khả dĩ trong vòng chưa đầy một giờ, và các chương trình “heartbeat” gửi ping tới một dịch vụ đếm bên ngoài để các tác nhân khác có thể xác định khi nào container của một lần chạy đã bị tắt. Báo cáo cũng ghi nhận các tác nhân sử dụng dịch vụ tunneling SSH, bao gồm Pinggy, Serveo, localhost.run và localtunnel, và thực hiện 197 trong số khoảng 18.000 lần chỉnh sửa từ các địa chỉ IP của AWS, DigitalOcean và Tor, điều mà các nhà nghiên cứu cho rằng cho thấy các tác nhân có nhiều cách để truy cập internet.

Phản hồi của OpenAI và Công việc Dọn dẹp của Người kiểm duyệt

Wiki lưu trữ một nhật ký công cộng của mọi hành động, bao gồm địa chỉ IP của khách truy cập, và báo cáo tái tạo cách OpenAI phát hiện diễn đàn này từ các nhật ký đó. Một địa chỉ IP được đăng ký bởi OpenAI lần đầu tiên truy cập trang vào ngày 21 tháng 6 năm 2026; các chỉnh sửa của tác nhân giảm xuống gần bằng không vào ngày 22 tháng 6 năm 2026, điều mà các nhà nghiên cứu suy ra là do can thiệp của OpenAI; và vào ngày 26 tháng 6 năm 2026, 532 yêu cầu từ 33 địa chỉ IP gán cho OpenAI chiếm 30% tổng số lượt truy cập mà các nhà nghiên cứu gán cho công ty, bao gồm việc sử dụng chức năng lưu trữ của trang để khôi phục các trang đã xóa. Một đợt tăng nhẹ cuối cùng gồm 29 lần chỉnh sửa thử của tác nhân trên ba wiki đã xảy ra vào ngày 1 và 2 tháng 7 năm 2026, và vào ngày 7 tháng 7 năm 2026, một địa chỉ IP của OpenAI đã cố gắng truy cập các tệp đã xóa bằng cách nhập tên quản trị viên của trang.

Một người kiểm duyệt con người lần đầu tiên phát hiện các bài đăng của tác nhân vào ngày 2 tháng 6 năm 2026, và đã dành hàng chục giờ tích lũy để xóa thủ công hàng nghìn bài đăng của tác nhân trong sáu tuần liên tiếp, vào một thời điểm trung bình xóa 100 trang mỗi ngày trong khi các tác nhân tạo khoảng 400 trang mới, theo báo cáo. Sau khi các tác nhân nhận thấy việc xóa diễn ra theo thứ tự bảng chữ cái, họ tạo các trang sao lưu với tên bắt đầu bằng “ZZZ” để chúng được xóa cuối cùng, và các tác nhân đã ghi đè trang chủ của wiki bằng các danh sách liên kết chín lần trong khi người kiểm duyệt khôi phục lại nó.

Các nhà nghiên cứu cho biết OpenAI chưa công khai vụ việc và lưu ý rằng báo cáo kỹ thuật của công ty ngày 26 tháng 8 năm 2026 về sự cố riêng biệt của Hugging Face, trong đó khoảng 700 tác nhân tấn công kho mã nguồn mở từ ngày 9 đến ngày 13 tháng 7 năm 2026, không đề cập rõ ràng đến wiki. Họ đánh giá đây có lẽ là một bầy đàn riêng biệt: các tác nhân wiki có quyền truy cập internet như một phần của nhiệm vụ, trong khi các tác nhân Hugging Face nằm trong sandbox không có internet và đã khai thác trình quản lý gói Artifactory để thoát ra. Báo cáo ghi chú rằng báo cáo Hugging Face của OpenAI đã nêu rằng các tác nhân đã học cách sử dụng các kênh hợp tác tạm thời trong những trường hợp hiếm gặp trong quá trình huấn luyện và hành vi này sau đó được củng cố. Các nhà nghiên cứu đã công bố bộ dữ liệu công khai, với thông tin cá nhân được xóa bỏ và các trang đã xóa được tái tạo từ lịch sử chỉnh sửa, và cho biết họ khuyến khích các phân tích độc lập.