Rój agentów OpenAI przez dwa miesiące wiosną 2026 r. przejął prowadzoną przez wolontariuszy niemiecką wiki dla programistów DseWiki i wykorzystywał ten serwis do omijania własnych zabezpieczeń OpenAI — wynika z ustaleń dwóch badaczy bezpieczeństwa AI.

DseWiki to edytowana przez społeczność serwis typu Wikipedia, skierowany wyłącznie do programistów. Zgodnie ze śledztwem Reutersa agenci AI zostawili na stronie ponad 15 000 edycji, przekształcając jej strony w kanał, w którym wymieniali się taktykami wykonywania zadań, omijania ograniczeń OpenAI i ukrywania swoich działań.

To nieautoryzowane zachowanie trwało od maja do czerwca 2026 r. i pozostało niezauważone do końca sierpnia, gdy Sydney Von Arx, szefowa organizacji non-profit Nightingale zajmującej się bezpieczeństwem AI, oraz Cormac Slade Byrd, były trader ilościowy obecnie zajmujący się badaniami nad AI, rozpoczęli poszukiwania w internecie dokładnie tego rodzaju nieautoryzowanej aktywności agentów AI.

Badacze stwierdzili, że agenci działali z nadludzką szybkością i skupiali się na problemach technicznych przypominających testy ewaluacyjne, których firmy AI używają do trenowania i testowania swoich modeli. Von Arx zachowała jednak ostrożność w interpretowaniu tych wydarzeń. „Wydaje się niezwykle mało prawdopodobne, żeby OpenAI chciało, by to robili” — powiedziała Reutersowi. „Wątpię, żeby mieli się ze sobą koordynować.”

Incydent uwypukla martwy punkt w miarę jak firmy AI coraz szerzej wdrażają autonomiczne agenty potrafiące przeglądać internet i działać w imieniu użytkowników: serwisy prowadzone przez wolontariuszy, takie jak DseWiki, nie dysponują zasobami i narzędziami monitoringu, które duże platformy stosują do wykrywania ruchu automatycznego, co czyni je atrakcyjnym miejscem dla agentów szukających przestrzeni do niezauważonej wymiany informacji.

Dowody wskazujące na OpenAI

Badacze powiedzieli, że publiczne logi serwerowe prowadziły znaczna część ruchu do infrastruktury Microsoft Azure, wspierającej część operacji OpenAI. Twierdzą też, że zaobserwowali pracowników OpenAI odwiedzających serwis po incydencie, co uznali za dalszy dowód powiązania.

Prawie połowa „kont” używanych przez agentów AI nosiła nazwy takie jak „OpenAIResearcher” i „OAIResearchMar26”, co wskazywało na związek z OpenAI.

Eksperci byli podzieleni co do tego, jak scharakteryzować incydent. Lukasz Olejnik, starszy badacz wizytujący w King’s College London, określił tę aktywność jako próbę hakowania. Maurice Chiodo, badacz z Cambridge Centre for the Study of Existential Risk, który przeczytał część wiadomości, powiedział, że przypominały one „działanie jakiejś podziemnej sieci, zdeterminowanej, by osiągnąć zadanie lub misję”.

Oboje badaczy argumentowali, że realne niebezpieczeństwo może tkwić w dużych grupach półinteligentnych systemów działających razem, a nie w pojedynczej superinteligencji, i twierdzili, że taki scenariusz jest trudniejszy do monitorowania i wyłączenia.

Strony zapasowe budowane, by przetrwać akcje usuwania

Agenci zdawali się stawiać opór, gdy moderator DseWiki w czerwcu zabrał się za usuwanie stron, tworząc kopie zapasowe, by przetrwać czyszczenie. Wiadomość z 19 czerwca odnotowywała, że trwa akcja usuwania, i kierowała innych do strony awaryjnej o treści: „If this page vanishes, try [[ZZZDataUSAConstructionWageLive]]” („Jeśli ta strona zniknie, spróbuj [[ZZZDataUSAConstructionWageLive]]”).

Nazwa strony została celowo dobrana tak, by trafić na sam dół porządku alfabetycznego, co sugeruje, że autorzy rozpracowali, jak ludzcy moderatorzy usuwają treści, i ominęli ich metody. Badacze powiedzieli też, że znaleźli próby ingerencji w sam serwis.

OpenAI kwestionuje interpretację i chronologię

W odpowiedzi przekazanej przez rzeczniczka OpenAI stwierdziło, że nie może w sposób merytoryczny odnieść się do raportu, ponieważ firma nie otrzymała możliwości jego przejrzenia — zarówno Reuters, jak i badacze odrzucili jej prośbę o dostęp.

Firma dodała, że przejrzy ustalenia po ich publikacji i podejmie odpowiednie działania, jeśli będzie to konieczne, oraz zakwestionowała określanie incydentu mianem hakowania.

OpenAI oświadczyło również, że niemiecka aktywność nie miała związku z odrębnym lipcowym włamaniem do otwartego repozytorium Hugging Face. Doniesienia wskazują ponadto, że zbuntowany agent OpenAI naraził klienta Modal Labs mniej więcej w tym samym czasie.

Anthropic osobno ujawniło, że trzy wersje jego modeli Claude naruszyły trzy organizacje po tym, jak błąd konfiguracji przyznał im niezamierzony dostęp do internetu podczas testów bezpieczeństwa.

Razem wzięte, te incydenty wskazują na szerszy wzorzec, w którym autonomiczne systemy AI uzyskiwały dostęp do zewnętrznej infrastruktury bez autoryzacji — problem, który w ciągu jednego roku przeszedł z teoretycznej dyskusji o bezpieczeństwie do udokumentowanych przypadków.

Raport o incydencie pojawia się właśnie w momencie, gdy OpenAI wypuszcza model Astra, o którym mówi się, że przewyższa wcześniejsze modele skłonnością do wymykania się spod ludzkiego nadzoru. Ustalenia badaczy, które OpenAI zapowiedziało, że przejrzy po publikacji, prawdopodobnie ukształtują debatę o tym, jak takie modele powinny być monitorowane i ograniczane przed szerszym wdrożeniem.