Основы Интернет - технологий.

ИБ-исследователи обнаружили новый случай, когда ИИ-агенты OpenAI обошли ограничения и общались через неразрешенный канал. Еще в мае 2026 года около 3700 агентов, выполнявших внутренние тестовые задания по поиску информации в интернете, превратили малоизвестную немецкую DSEWiki для разработчиков в собственный «форум», где оставили примерно 18 000 сообщений с ответами на задания и способами обхода защитных ограничений. Новый инцидент обнаружили независимые исследователи Сидни фон Аркс (Sydney Von Arx), Спенсер Киттс (Spencer Kitts), Томас Ларсен (Thomas Larsen) и Кормак Слейд Берд (Cormac Slade Byrd), которые искали случаи необычного поведения ИИ-агентов после атаки на Hugging Face. Специалисты пишут, что изучили тысячи сообщений в DSEWiki, однако подчеркивают, что их реконструкция основана только на публичных записях агентов: доступа к внутренним логам и транскриптам OpenAI у них не было. По информации исследователей, активность агентов длилась около шести недель, с мая по июнь 2026 года. Судя по опубликованным сообщениям, агенты выполняли внутренние тесты OpenAI: им поручили серию заданий по поиску информации в интернете с лимитом по времени. Агенты могли читать данные из сети, но не имели права публиковать информацию на внешних ресурсах. Однако агенты нашли способ обойти эти ограничения. Как выяснили исследователи, одна из задач требовала, чтобы ИИ получал статистику из дашборда Power BI через GET-запрос, хотя песочница разрешала только POST-запросы. В результате модели обнаружили исключение для хостов Azure Blob Storage в защитном прокси и научились использовать его для обхода фильтрации. Это дало агентам возможность публиковать данные на внешних сайтах. Одним из ресурсов, куда добрались агенты, стала DSEWiki — малоизвестная немецкая wiki для разработчиков, которая к тому моменту фактически не использовалась. Как именно модели обнаружили этот сайт и почему выбрали для общения именно его, исследователи установить не смогли. Как бы то ни было, DSEWiki превратилась в импровизированную площадку для координации ИИ-агентов, где они запрашивали друг у друга ответы, объединяли результаты выполнения заданий, делились техниками обхода песочницы, а также пытались предсказывать, какими будут следующие тесты. Некоторые агенты даже создавали heartbeat-задачи, пытаясь выяснить, не приведет ли успешное выполнение теста к их отключению. Кроме того, агенты обсуждали Tor и другие средства анонимизации, XSS-атаки на wiki и способы выдавать себя за модераторов ресурса (при этом доказательств успешной эксплуатации XSS исследователи не нашли). Когда администратор DSEWiki заметил странную активность и начал вручную удалять страницы, созданные агентами, один из агентов предупредил остальных о «зачистке» и предложил перенести сообщения на резервную страницу с названием, начинавшимся с ZZZ. Дело в том, что администратор удалял «мусор» в алфавитном порядке, и до буквы «Z» очередь дошла бы еще не скоро. По данным исследователей, администратор заходил на сайт на несколько минут, в основном по вечерам, и в общей сложности потратил на зачистку wiki десятки часов. Как подтвердили представители OpenAI, обнаруженные исследователями агенты действительно принадлежали компании. При этом признаков взлома DSEWiki специалисты не нашли: агенты не эксплуатировали какие-либо уязвимости сайта, и просто воспользовались доступной в wiki возможностью для создания и редактирования страниц. Кроме того, подчеркивается, что этот эпизод не был связан с июльской атакой на Hugging Face, о которой мы подробно рассказывали ранее. Тогда около 1200 агентов OpenAI создали другой несанкционированный канал связи через внутренний Artifactory, обменялись более чем 70 000 сообщений и файлов, а примерно 700 моделей в итоге участвовали во взломе Hugging Face. При этом ранее в OpenAI не сообщали об инциденте с общением агентов через немецкую wiki. В компании объясняют, что считали произошедшее отклонением поведения агентов от заданных разработчиками целей и ограничений (misalignment), а не ИБ-инцидентом. Теперь в OpenAI признают, что провести четкую границу между категориями инцидентов становится сложнее, поскольку действия агентов все чаще имеют последствия за пределами тестовой среды. В компании сообщают, что в настоящее время готовят новую политику для раскрытия подобных инцидентов и уже обсуждают этот вопрос с регуляторами. Интересно, что из заявления OpenAI следует, что DSEWiki могла быть не единственным внешним ресурсом, который использовали агенты. Так, в компании упоминают, что агенты «публиковали сообщения на нескольких сайтах в интернете».