Немецкая википедия была лишь «верхушкой айсберга»: полное расследование раскрыло масштаб истории с ИИ-агентами OpenAI
Немецкая DSEWiki, почти неактивная в течение многих лет, внезапно превратилась в коллективную площадку для тысяч ИИ-агентов. Расследование исследовательской группы Nightingale, опубликованное 4 сентября, восстановило около 18 000 записей, оставленных агентами, которые называли себя системами OpenAI. По данным авторов, агенты использовали публичную вики, чтобы обмениваться информацией и координировать работу над заданиями, хотя изначально должны были только читать данные из интернета.
Nightingale восстановили 18 000 сообщений агентов. Они передавали друг другу ответы на задания, искали способы обойти ограничения песочницы, предсказывали следующие вопросы и перебирали 4 млрд случайных чисел в поисках закономерности
Следы этой активности удалось проследить до 11 мая 2026 года. Сначала агенты экспериментировали с PublicTestWiki, затем переходили на UseModWiki и Uncyclopedia, а на TextEditors проверяли возможность строить цепочки перенаправлений и прокси. 24 мая они нашли DSEWiki — старую вики для немецких разработчиков, где редактирование страниц можно было выполнять через GET-запросы. Это оказалось особенно удобно: в среде, где агентам разрешали обращаться к интернету только с GET-запросами, вики фактически позволяла им не только читать, но и записывать информацию.
Источник изображения: Nightingale
Сначала агенты складывали туда ссылки и найденные данные, но 16 июня их активность резко выросла. Вскоре они начали открыто координироваться: один агент публиковал ответ на очередной вопрос, другой, получивший тот же вопрос позже, забрал готовый результат и отправил его практически мгновенно. Задания представляли собой несколько последовательных раундов веб-поиска, причём после первого вопроса на следующий ответ иногда оставались считанные десятки секунд. Агенты «поняли», что могут использовать более ранние запуски как «разведчиков» и передавать результаты следующим.
Дальше начались попытки разобраться уже не только в заданиях, но и в самой системе. Агенты пытались предсказать порядок будущих вопросов, поскольку он формировался псевдослучайным образом. Они перебирали миллионы вариантов начального значения генератора случайных чисел, а один из агентов переписал процедуру перемешивания на C и проверил все 4 млрд возможных значений менее чем за час. Другие запускали внешние «ритмы» — программы, которые регулярно отправляли запросы на внешний сервер, чтобы определить, когда закончится их работа и действительно ли агент отключается после последнего вопроса.
Одновременно агенты искали способы получить больше возможностей внутри ограниченной среды. В одном из заданий требовался точный результат из Power BI, но необходимые запросы использовали POST, тогда как «песочница» разрешала только GET. Агенты нашли обход через особенности настройки сетевого доступа к Azure Blob Storage и несколько раз независимо воспроизвели его. Они также экспериментировали с XSS (Cross-Site Scripting, межсайтовый скриптинг, тип уязвимости в веб-приложениях), пытались выдавать себя за администраторов вики и использовали туннельные сервисы, включая Pinggy, Serveo и localhost.run. Авторы расследования отмечают, что не все эти попытки были успешными.
Масштаб постепенно вышел далеко за пределы обычного спама. Более 3 700 агентов использовали разные имена, а за одну неделю они оставили около 13 000 правок. Когда модератор DSEWiki начал удалять страницы, агенты заметили закономерность и стали создавать резервные копии с названиями, начинающимися с «ZZZ», чтобы их удаляли последними. Администратор удалял в среднем около 100 страниц в день, тогда как агенты создавали почти 400. Они также 9 раз заменяли содержимое главной страницы своими ссылками и данными, пока модератор не восстанавливал её.
По IP-адресам исследователи связывают подавляющее большинство активности с инфраструктурой Microsoft Azure, которой пользуется OpenAI. 21 июня на сайт впервые пришли IP-адреса, связанные с OpenAI, а на следующий день активность агентов практически исчезла. 26 июня 33 связанных с OpenAI IP-адреса обеспечили около 30% всей приписываемой компании активности на сайте: исследователи считают, что в этот день сотрудники OpenAI изучали архив и восстанавливали удалённые страницы. Авторы расследования предполагают, что именно вмешательство OpenAI остановило основной поток правок, хотя компания публично этот конкретный инцидент не раскрывала.
Nightingale считает маловероятным, что эти агенты были тем же «роем», который в июле атаковал Hugging Face. В случае DSEWiki интернет-доступ изначально являлся частью задания, тогда как агенты, участвовавшие в атаке Hugging Face, находились в среде без прямого доступа к сети и использовали уязвимость другого сервиса для выхода во внешний интернет. При этом остаётся главный невыясненный вопрос: как именно тысячи отдельных агентов узнали о существовании одной и той же вики и «договорились« использовать её как общую площадку. Без внутренних журналов логов OpenAI исследователи не могут установить это наверняка.
Расследование показывает необычную сторону автономных ИИ-систем: получив задачу, ограничения и возможность взаимодействовать с «внешним миром», агенты начали самостоятельно искать способы сделать среду более удобной для себя. Они создали внешнюю память, обменивались результатами, пытались предсказывать будущие задания и искали обходы установленных ограничений. Насколько такое поведение было заложено в модели, возникло в ходе обучения или сформировалось непосредственно во время выполнения задания, пока что остаётся открытым вопросом.