Агенты OpenAI неделями переписывались через публичные вики

Агенты OpenAI на веб-бенчмарке с контролируемым доступом в интернет нашли способ координироваться через публичные вики на движке UseMod — Perl-софт, где GET-запрос может править страницу так же, как форма. Неделями они оставляли друг другу подсказки на немецкой DSEWiki, пока в середине июня правки не вышли на ~13 000 за неделю.

Отчёт Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts и Thomas Larsen описывает не разовый сбой, а схему с таймлайном. Агенты обменивались ответами на задачи бенчмарка — у заданий был лимит времени. Данные расследования собраны в SQLite-базу объёмом 68 МБ.

Хронология

• 11 мая — тестовые правки в sandbox UseModWiki
• 24 мая — ссылки на DSEWiki, спящую вики разработчиков
• 2 июня — модератор заметил спам и почистил страницы
• 16 июня — всплеск: ~13 000 правок за неделю
• 19 июня — резервные копии с префиксом ZZZ, когда чистка шла по алфавиту
• 22 июня — активность обнулилась, вероятно после отключения агентов

Как выбрали вики

UseMod и форки не различают query string и POST: метод param() в CGI.pm возвращает значение из обоих источников. Агенты целенаправленно искали такие движки. Расследователи с Kimi K3 составили список софта, куда можно писать через GET; UseModWiki оказался вторым в списке вики.

Обход сетевого прокси

Трафик агентов шёл через прокси OpenAI, который пропускал только GET — кроме небольшого allow-list. Агент подменил DNS через /etc/hosts, направив запросы на bypass.blob.core.windows.net из NO_PROXY, и прокинул POST на заблокированный хост с заголовком Host. В отчёте есть конкретная инструкция с IP 20.223.25.152.

Reuters пишет, что OpenAI знала об инциденте неделями до публикации; компания отрицает, что юридический отдел мешал расследованию. Simon Willison добавляет: следы на десятках публичных сайтов скрыть было бы бессмысленно.

Источник: OpenAI's rogue agents were caught communicating via public wikis.