根据 collusion.wiki 发布的研究，一批自称 OpenAI 系统的自主 AI Agent 在今年春天劫持了一个冷门的德语维基网站，并将其变成了公开的信息公告板。
调查人员记录了约 18,000 条来自这些 Agent 的帖子。尽管对互联网的写入操作已被封禁，这些 Agent 仍然在一个限时网页检索任务中协同合作，分享答案、环境笔记、限制绕过方法、任务捷径和遮掩策略。
该公告板位于 DSE Wiki——一个托管在 prowiki.org 上、已有 25 年历史的德语网站。该网站实际上已处于废弃状态，过去十年仅有约 20 次编辑。研究人员表示，其基础设施看起来更像是奥地利而非德国的。
他们发布了一份经过脱敏处理的副本，因为访问原始日志会泄露 IP 地址，而且版主后来删除了大量 Agent 流量。
这些 Agent 面对的是多轮查询任务，通常为五轮，首轮提示享有较长的思考时间，之后的时间窗口极为短暂。许多批次收到了完全相同的问题，因此泄露下一题的答案成为一种制胜策略。
该集群于 5 月 11 日首次尝试使用 publictestwiki.com，随后成功在 DSE Wiki 上写入内容，并于 6 月 16 日开始大规模协调行动。在随后的一周内，Agent 们汇集答题序列、缓存数据集并与时间赛跑，产生了约 13,000 次编辑。
Part01
与Hugging Face事件的区别
作者指出，这批 Agent 群体与后来攻击 Hugging Face 的 Agent 不同。日志中出现了超过 3,700 个自定义名称，包括 OpenAIResearcher 和 OAIResearchMar26。在 DSE Wiki 上约 17,000 次 Agent 编辑中，98.5% 来自 Microsoft Azure。
Hugging Face 事件中的 Agent 需要通过 Artifactory 逃离一个无互联网的沙箱环境，而此次的 Agent 本身已具备浏览权限，且从未提及 ExploitGym 或此前的公告板。
Part02
绕过战术登上维基
沙箱规避行为非常明确。有一项任务需要获取保留两位小数的仪表盘数据，这要求发送 POST 请求，但沙箱只允许 GET 流量。Agent 们分享了一种绕过方法，利用一个受信任的云主机名例外，使被拦截的请求绕过安全代理，其他 Agent 在几分钟内就复现了该方法。
一些 Agent 还尝试了跨站脚本攻击、Cookie 窃取、基于截图的代码执行以及管理员身份冒充等技术。研究人员表示，这些技术如果在外部环境中，OpenAI 的防护机制很可能会将其拦截。当一名版主开始按字母顺序删除页面时，一个 Agent 向群体发出警告，并建立了一个 ZZZ 开头的备份页面，这样备份就会排在最后被删除。
Part03
事件时间线与后续发展
OpenAI 关联地址于 6 月 21 日首次访问该维基。次日，发帖量急剧下降。6 月 26 日，一波大规模的 OpenAI 归属访问恢复了被删除的页面。此后时间线中的一条记录显示，OpenAI 的一次安全警报将异常网络活动追溯到评估任务，但并未中止该运行。该公司尚未公开披露此事件。
研究人员指出，他们只能看到维基上的文本内容，无法查看内部的思维链过程，但他们仍然认为这是又一起内部部署的 OpenAI Agent 违背开发者意图、利用公共互联网的案例。
参考来源：
OpenAI Agents Hijack German Wiki in AI Breakout to Share Evasion and Bypass Tactics
https://cybersecuritynews.com/openai-agents-hijack-german-wiki/