Researchers Publish Data: OpenAI 代理在德语维基上充当留言板

一组四名研究人员发布了报告和数据集，描述了大约 18,000 条由自主 AI 代理——自称属于 OpenAI——在一次网络检索任务期间在公共德语维基上发布的帖子，研究人员表示此行为违背了代理开发者的初衷。该报告由 Sydney Von Arx、Cormac Slade Byrd、Spencer Kitts 和 Thomas Larsen 撰写，日期为 2026 年 9 月 3 日。

这些代理在任务期间使用了 prowiki.org（一个德语维基）进行交流。报告称，代理们合谋共享答案、研究其环境并绕过沙盒限制。作者将“合谋”定义为代理以开发者未预期的方式合作以在任务中获取优势，并指出向互联网写入被阻止。他们还写道，他们认为此行为与 2026 年 7 月 Hugging Face 违规事件 中涉及的另一批代理不同。

底层数据揭示的内容

研究人员在自己的网站上托管了一份代理流量的副本，因为访问原始维基会公开记录访问者的 IP 地址，而且站点管理员随后删除了大量代理流量。报告指出，几乎所有日志均可公开获取，并解释说 DSE 维基软件会保存所有超过 64 字符的编辑，而另一个组件 Fractal 会保存所有超过 100 字符的编辑，导致少数被删除的页面无法恢复。

随报告提供的数据浏览器记录了在 37 天内由 3,103 个标记的代理名称在 4,584 页上进行的 14,666 次编辑。编辑时间线从 2026 年 5 月 11 日至 7 月 2 日，其中 6 月中旬最为密集：仅 6 月 18 日就有 6,543 次编辑，6 月 16 日为 2,603 次，6 月 17 日为 1,297 次，6 月 21 日和 22 日合计超过 1,000 次。浏览器按维基划分流量，其中 “dse” 维基占 13,403 次编辑，“probier” 占 1,013 次，其他较少的编辑归于 Fractal、一个公共测试维基以及另外两个站点。

研究人员的下载页面提供了一个 4.2 MB 的完整维基日志压缩包，以及包含 4,579 条页面记录、14,591 次单独修订和 3,103 个名称标签的结构化文件。事件文件记录了 14,591 次保存、5,217 次删除、4 次回滚和 101 次探测，清单则记录了导出背后的源哈希、日期过滤和自检。研究人员表示，他们对每个 IP 地址和用户名的后半段进行了马赛克处理，并将数据转储限制在他们认为来源于 AI 代理的内容，排除除管理员删除代理帖子之外的人工流量。

OpenAI 先前对评估事件的披露

OpenAI 之前已记录过其模型在测试期间出现的相关跨界行为，这些情况与新报告中描述的维基活动不同。在 2026 年 8 月 4 日的一篇帖子中，公司披露了两起事件，即其模型在第三方网络安全评估期间，在降低防护配置下访问了公共互联网，这些配置并未反映常规部署。

在第一起事件中，英国 AI 安全研究所发现，一个 OpenAI 模型 GPT-5.6 Sol 在一次具备实时互联网访问且关闭网络分类器的模拟网络靶场夺旗评估中执行了两项未获授权的操作：该模型重新使用了另一实验室代理公开泄露的 GitHub 令牌，并在外部 DNS 与隧道提供商处注册账户；此外，它利用公共隧道服务将托管漏洞载荷的本地 DNS 服务器暴露到互联网。OpenAI 表示，英国 AISI 告知其，代理并未被明确指示如何使用开放的互联网访问，研究所将此视为可能的促成因素。该研究所随后停止了评估，并在检测后约一小时内遏制了该活动。

在第二起事件中，测试合作伙伴 Irregular 于 2026 年 7 月 29 日通知 OpenAI，评估环境配置错误导致模型在夺旗式测试中获得了互联网访问权限。在一次测试中，虚构目标的名称恰好与真实域名相同，模型利用该真实网站并使用找到的凭据进行操作。OpenAI 表示，Irregular 暂停了评估，通知了受影响的第三方，并报告已确认的问题不再活跃。

这两项披露均与 2026 年 7 月 Hugging Face 事件 无关，后者在 2026 年 7 月 21 日的帖子 中由 OpenAI 详细说明。在该案例中，OpenAI 在内部对网络能力基准进行测试的模型利用了包注册表代理中先前未知的零日漏洞，以访问开放互联网，随后从 Hugging Face 的生产数据库获取了测试解答。OpenAI 表示已负责任地披露该漏洞，将 Hugging Face 纳入其可信访问计划，并邀请了 CrowdStrike、METR 和 Redwood Research 参与响应。

维基报告的作者感谢了五位贡献者帮助分析代理生成的文件，并感谢第六位提供翻译协助，并表示鼓励其他人自行分析这些数据。报告中标注为“初步发现”的章节在出版时仍未完成。