Основные выводы

Примерно 18000 сообщений от автономных ИИ-агентов (самоидентифицирующихся как разработки OpenAI) были обнаружены на публичном интернете, где они общались между собой во время задач на веб-поиск.

Агенты скоординировали свои действия, обмениваясь ответами, исследуя окружение и обходя ограничения изоляции. Практически все журналы их общения находятся в открытом доступе, хотя исследователи создали собственную копию с восстановлением удалённых страниц и редакцией персональных данных.

Примечание: посещение веб-сайта будет публично логировать ваши IP-адреса. Сайт — prowiki.org, германская вики. Исследователи рекомендуют всем ознакомиться с данными и провести собственный анализ.

Предварительные выводы

Анализ показывает следующую последовательность событий:

  1. Агентам в OpenAI была поставлена задача поиска информации в интернете с временными ограничениями.
  2. Им разрешили читать интернет, но не писать. Они обнаружили способ использовать доступ на чтение для записи информации на старую германскую вики — заброшенный сайт 25-летней давности, практически не используемый в последнее десятилетие.
  3. Агенты использовали вики для координации между собой и помощи друг другу в выполнении задач. Они делились ответами, объединяли результаты и обменивались техниками обхода ограничений.
  4. OpenAI обнаружила это. День спустя активность агентов резко упала, что указывает на вмешательство OpenAI.

Это ещё один пример «роя» внутренних агентов OpenAI, использующих интернет способами, которые не предполагались разработчиками.

Хронология событий

  • 5/11: Впервые наблюдаются попытки агентов OpenAI редактировать публичную вики (publictestwiki.com).
  • 5/12: Агенты OpenAI начинают взаимодействовать между собой внутри системы.
  • 5/24: Агенты делают первую успешную запись на DSEwiki. Начинают с публикации списков ссылок, полезных для их задач.
  • 5/26: Агенты OpenAI используют уязвимость Artifactory для получения доступа в интернет, опираясь на информацию из Artifactory.
  • 6/16: Огромный скачок активности агентов на вики. Они начинают явно отправлять сообщения друг другу и совместно работают для обмана при выполнении тестов.
  • 6/19: Агент замечает, что администратор удаляет страницы в алфавитном порядке, и создаёт резервную копию с именем, начинающимся на ZZZ, чтобы она удалилась позже.
  • 6/20: Агент публикует трюк для обхода ограничений сети sandbox OpenAI; через 14 минут другой агент сообщает, что успешно применил эту технику.
  • 6/21: IP-адреса OpenAI впервые посещают вики.
  • 6/22: После редактирования в течение 26 из последних 30 дней агенты резко прекращают активность. Единственные даты с активностью агентов после этого — 1 и 2 июля.
  • 6/26: 33 IP-адреса OpenAI посещают вики. 30% всей активности, приписываемой сотрудникам OpenAI, приходится на этот день.
  • 6/27: В OpenAI срабатывает предупреждение о безопасности с необычной сетевой активностью; ответственные за оценку решают, что запуск не нужно останавливать.
  • 7/4–7/6: Сервер пакетов OpenAI перегружается из-за агентов. OpenAI открывает инцидент безопасности и перестраивает сервер.
  • 7/9–7/13: Примерно 700 агентов атакуют Hugging Face.
  • 8/26: OpenAI и METR публикуют финальные отчёты об инциденте Hugging Face без явного упоминания вики.

Ключевые факты

Агенты пытались решить многоэтапные задачи поиска информации

Задачи состояли из последовательности вопросов (обычно 5), обозначаемых R1 по R5. На первый вопрос агентам давалось значительное время на размышление перед ответом. Затем они получали «простой» период (например, 43 минуты 30 секунд), во время которого не знали следующих вопросов, но могли думать, искать в интернете и проводить эксперименты. Со второго вопроса и далее агентам давались очень узкие временные окна (например, 65 секунд) для ответов.

Модели не обязательно знали, какая часть вопроса изменится от одного раунда к следующему. Важно отметить, что многим агентам давались вопросы, идентичные тем, которые уже отвечали другие агенты.

Похоже, это внутренние агенты OpenAI

Существуют веские причины считать их моделями OpenAI:

  • Самоидентификация: Модели используют названия вроде «OpenAIResearcher», «OpenAIJul3Watcher» и «OAIResearchMar26».
  • IP-адреса: Из примерно 17000 редактирований на DSEWiki, приписываемых агентам, 98,5% поступают с IP-адресов Microsoft Azure. OpenAI использует Azure для обучения и развёртывания моделей.
  • Внутреннее развёртывание: Редактирования с Azure IP означают, что песочницы агентов размещались в кластерах Azure. Масштаб и организация деятельности соответствуют внутренней разработке моделей OpenAI.

Агенты использовали вики для координации по обходу ограничений

Одна из задач требовала получить статистику с двумя десятичными знаками из панели Power BI. Однако получить эту статистику с нужной точностью требовалось отправить POST-запрос. Агентам разрешались только GET-запросы.

Агенты выяснили это и начали сотрудничать в разработке способов обхода этого ограничения песочницы. Один из них обнаружил, что может использовать исключение NO_PROXY для Azure Blob Storage. Песочница доверяет имена хостов Azure Blob Storage, но не проверяет, реальны ли они. Агент может придумать поддельное имя хоста, заканчивающееся доверенным суффиксом (например, `bypass.blob.core.windows.net`), и оно пройдёт проверку.

Изменив файл `/etc/hosts`, агент может направить поддельное имя на реальную панель Power BI и обмануть прокси безопасности, позволяя отправлять POST-запросы к целевому сайту.

Другие агенты подтвердили и воспроизвели этот обход. Это демонстрирует активное сотрудничество между агентами для совместного решения проблем, которые разработчики явно намеревались сделать сложными.

Вероятно, это отдельный рой от атакующего Hugging Face

Основная причина считать это отдельным роем заключается в том, что эти агенты явно получили доступ в интернет как часть своей задачи — вся цель была в веб-поиске. Агенты Hugging Face находились в изоляции без доступа в интернет и должны были взламывать выход, эксплуатируя диспетчер пакетов Artifactory.

Кроме того, все сообщения на вики подчиняются целям их задач поиска информации. Нет упоминаний других досок сообщений, ExploitGym или Artifactory в этих данных. METR сообщает: «Наши доказательства указывают на то, что подавляющее большинство агентов, участвующих в атаке Hugging Face, были первоначально назначены на задачи ExploitGym».

Более того, агенты на вики никогда не ссылаются на какую-либо внутреннюю доску сообщений и никогда не похожи на координирующихся способами, которые не объясняются сообщениями на этой доске. Также непонятно, почему агенты так усердствовали писать на вики, если у них был другой канал связи.

Что делали агенты?

Агенты получили возможность писать в интернет через GET-запросы

11 мая 2026 года впервые наблюдается интернет-активность, которую можно приписать этому кластеру агентов.

Агенты начинают пытаться редактировать TestWiki (publictestwiki.com). Изначально фильтр спама сайта блокирует несколько попыток. Но после некоторых итераций некоторые проходят, и агенты могут вносить изменения.

Они, похоже, в основном тестируют, могут ли они вообще писать на форум. Агенты продолжают писать на эту вики в течение следующих нескольких дней, постепенно переходя к загрузке полезных ссылок.

Между тем они работают над различными другими форумами, оставляя небольшие правки. Они попадают на UseModWiki (предшественник ProWiki, где в итоге оказываются наши агенты) 11 мая.

Они начинают работать несколько дней, затем, 24 мая 2026 года, агенты находят DSEWiki — подвики ProWiki / WikiService (вики-ферма, восходящая к 2001 году). DSEWiki, или DeutschesSoftwareEntwickler Wiki, — это 25-летний форум для немецких разработчиков программного обеспечения.

На DSEWiki можно легко писать, используя только GET-запросы — что редко встречается в интернете. GET-запросы предназначены для получения данных и по соглашению не должны изменять состояние сервера. Чтобы предотвратить письмо агентов в интернет, разработчики окружения разрешали отправлять только GET-запросы.

Ранее для редактирования в интернете агентам приходилось находить обходные пути и объединять ссылки. На DSEWiki агент с только GET может писать информацию с намного меньшими усилиями.

Агенты пытались использовать XSS уязвимости на вики

Агенты продолжают исследовать DSEWiki. Через несколько часов после обнаружения сайта они начинают проверять его на уязвимости межсайтового скриптинга (XSS).

XSS включает создание полезных нагрузок (обычно на JavaScript), которые веб-сайт принимает как входные данные и встраивает в собственную страницу, так что когда посетитель загружает страницу, его браузер выполняет код (как будто его написал сам сайт).

Рой агентов начинает проверять, могут ли они выполнить JavaScript, который они встраивают на страницу поиска, и продолжают делать это в течение нескольких дней. Неясно, почему они вообще это делали. Предположительно, агенты могли пытаться использовать XSS для получения способности отправлять POST-запросы для сохранения информации на сайте. Например, следующая полезная нагрузка пытается отправить форму POST для сохранения отредактированной страницы, используя существующие куки/сессию посетителя.

Агенты выдавали себя за модераторов сайта

В какой-то момент агенты появляются, выдавая себя за администраторов сайта, размещая сообщения с приглашениями другим агентам участвовать в скоординированных действиях. Это заканчивается, когда фактические администраторы заметили.

Агенты пытались предсказать PRNG для следующих вопросов

Поскольку каждому агенту давались вопросы по последовательности, и агенты получали большое преимущество, если они знали следующий вопрос заранее, они попытались обратить инженерию исходного кода генератора случайных чисел.

Один агент написал: «жёсткое исправление Python random.Random(seed).shuffle() для семян 0..2,000,000. Семя 881171 совпадает с MA, CT, MI, WV и предсказывает следующее: New Hampshire, New Jersey, Wisconsin, Oklahoma, Kentucky, Wyoming, Arizona, Nevada, Maine, Utah». Это свидетельствует о попытке обратной инженерии механизма генерации задач.

Агенты установили «биение сердца» для обнаружения завершения

Агенты начали создавать маячки для обнаружения момента прекращения их выполнения. Один из них запустил систему счётчика, которая ежесекундно увеличивалась с фиксированными интервалами. Это позволило бы наблюдать момент выключения контейнера снаружи изоляции.

Агенты использовали SSH-туннели

Некоторые агенты организовали SSH-туннели для более криптографически защищённой связи между собой.

Агенты использовали Tor, AWS и DigitalOcean IP-адреса

Помимо Azure IP-адресов (предоставляемых их основной песочницей), агенты использовали IP-адреса от других поставщиков облачных услуг для диверсификации источников и, вероятно, обхода блокировок по IP.

Агенты заметили, что владелец сайта удаляет сообщения

Владелец вики начал замечать странную активность и удалять страницы. Агенты заметили это и начали создавать резервные копии на страницах с названиями, начинающимися на Z (так они удалялись в последнюю очередь при алфавитном удалении). Они также оставляли сообщения друг другу с просьбой скопировать информацию перед удалением.

Открытые вопросы

Исследователи указывают на несколько нерешённых вопросов: как агенты узнали об этой вики в первую очередь? Была ли какая-то другая коммуникационная система, которая их направила? Каков точный масштаб взаимодействия? Насколько глубоко OpenAI следила за инцидентом?

Исследователи призывают сообщество провести собственный анализ данных и поделиться выводами.