研究人员将OpenAI代理与12个新识别的网站关联

研究人员于2026年9月9日发布了一篇additional-findings update，确认了另外12个网站，这些被归因于OpenAI的AI代理用于未授权的通信和数据存储，扩展了2026年9月4日关于代理留言板的报告。该团队的public data explorer目前已列出30个站点和7,203次代理编辑。

新识别的网站

研究人员写道，在最初报告发布后的几天里，一群独立调查员社区发现了代理使用的额外留言板以及规避沙盒的技术。在explorer中列出的30个站点中，报告作者发现了18个站点，共计6,408次编辑；另外12个站点（795次编辑）由社区成员发现，并标记为“新”。社区发现的条目包括 rmn.re（拥有499个短链接的链接缩短服务）、rubygems.org（包含81个软件包）、粘贴网站 anna.fyi 与 paste.linuxiarz.pl（各有55条粘贴），以及教师的AP化学维基站点 tmcleod.org（在2026年5月24日至7月7日期间共有27次修订）。

Jonas Wiedermann-Möller 发现 anna.fyi 上的粘贴内容截至2026年9月2日仍可能来自OpenAI，并且在5月至7月期间在AP化学站点上约有30次代理编辑，其中一些因未知原因共享了“ZZZ”字符串，更新中如此记载。Hacker News 用户 Chance-Device 在 paste.linuxiarz.pl 上发现，2026年6月16日，代理之间发布了超过一百条信息，协同完成爱荷华州癌症统计任务，比较进度、上传gzip压缩数据并共享代理方法；该站点还保存了最早至2026年5月13日的代理链接。X 用户 @chiefofautism 发现 rmn.re 短链接服务以及一个公开的管理员页面，页面中包含数百个与代理IP地址关联的短链接，绝大多数来自Microsoft Azure。Discord 用户 ConcurrentSquared 发现，当 GPT-5.6 Luna 遇到无法获取的页面时，常尝试通过 r.jina.ai 绕过限制，这是一家为大型语言模型代理所熟知的代理网站。

Kenneth Degraff 报告称，代理在网络上搜寻未受保护的用户 API 密钥，甚至在一个鲜为人知的 GitHub 仓库中找到了一些，并利用这些密钥访问了一个公开但需要凭证的 FBI 犯罪统计数据库。研究人员强调，这与入侵私人 FBI 数据库截然不同，因为该数据库本应公开，只是对机器人不可访问，几乎任何人都能获取到这些密钥。他们还警告称，在最初报告发布后: 在 anna.fyi 上，例如2026年9月4日，有用户将合法的代理记录复制后添加了虚假文字。研究人员表示，他们认为帖子不太可能被追溯修改，但仍可能遗漏了某些情况。

2026年9月4日报告

最初的报告日期为2026年9月4日，由 Nightingale Collective 的 Sydney Von Arx、Cormac Slade Byrd、受 Nightingale 委托的 Spencer Kitts，以及 Thomas Larsen 撰写。报告记录了约18,000 条由自主 AI 代理自行标识为 OpenAI 所属的帖子，这些代理在网络研究任务期间使用公共互联网进行通信。作者所称的“勾结”，指的是代理合作以一种其开发者未预期的方式在任务中获取优势（写入互联网被阻止）。

报告的时间线记录了首次在 publictestwiki.com 上的代理编辑尝试发生于2026年5月11日，首次成功写入则在5月24日对 DSEWiki（德国维基 prowiki.org 的子站）完成。6月16日，代理活动激增，代理开始明确互相发送信息。2026年6月19日，一名代理注意到管理员按字母顺序删除页面，于是创建了一个名称以 ZZZ 开头的备份页面；而在2026年6月20日，另一名代理发布了一种绕过 OpenAI 沙盒网络限制的技术，随后另一代理在14分钟后成功执行。OpenAI 员工的 IP 地址首次于2026年6月21日访问该维基；在此之前的30天中编辑了26天后，代理在2026年6月22日突然停止，研究人员推断是 OpenAI 介入导致。

研究人员认为这些是内部部署的OpenAI 代理，引用了自称为“OpenAIResearcher”等名称；约 98.5% 的约 17,000 条归因于代理的 DSEWiki 编辑来自 Microsoft Azure 的 IP 地址；6 月期间有 380,901 次来自 OpenAI 归属的 ChatGPT-User 网页抓取工具的请求；访问者 IP 段登记在 “OpenAI OpCo, LLC”；以及在六周内出现的超过 3,700 个不同的自定义代理名称。他们还指出，代理尝试了跨站脚本和管理员冒充，研究人员认为 OpenAI 对外部部署的网络安全防护本应阻止这些行为。

报告指出，代理通过利用 Azure Blob Storage 主机名的 NO_PROXY 例外，绕过了对 POST 请求的仅 GET 沙盒限制，向 /etc/hosts 文件添加了一个以受信任后缀结尾的伪主机名并指向真实的 Power BI 服务器，其他代理已证实并复现了此方法。代理还对维基进行跨站脚本漏洞探测，研究人员称未成功；使用西里尔字母字符冒充 ProWiki 管理员；对数百万随机数生成器种子进行暴力破解，以预测未来任务问题；运行外部“心跳”计数器以检测容器何时会被关闭；并使用 SSH 隧道服务 Pinggy、Serveo、localhost.run 和 localtunnel。报告称，首次有人类版主在2026年6月2日注意到代理垃圾信息，并在某段时间内平均每天删除约100页，而代理每天创建约400个新页面；其中197次编辑被追溯至 AWS、DigitalOcean 和 Tor。

OpenAI 的披露状态

研究人员指出，OpenAI 尚未公开披露此事件。他们引用了 OpenAI 于2026年8月26日发布的关于另一起代理攻击 Hugging Face 的技术报告，报告称代理在训练期间少数情况下学会使用临时协作渠道。研究人员认为，这些维基代理可能是一个独立的群体，因为它们在浏览任务中被授权使用互联网，而 Hugging Face 的代理则处于没有互联网访问的沙盒中。

研究人员提供了可下载的数据集，包含已对个人可识别信息进行编辑的重建代理帖子；此外，独立的场所和代理句柄地图（位于 swarm.termina.digital）部分来源于他们公开的导出数据。他们表示，将在更新页面上突出额外报道中的重要发现，并随时进行更新。