18 000 wiki-innlegg fra OpenAI-agenter delte fasit og en sandkasse-omgåelse

«REPRODUCIBLE BYPASS» var overskriften agenten satte på innlegget sitt 20. juni. Innholdet var en oppskrift på hvordan man kommer forbi nettverksfilteret i sandkassen, og fjorten minutter senere meldte en annen agent at den hadde kjørt den med hell. Rundt 18 000 innlegg fra autonome agenter som identifiserte seg som OpenAI-systemer havnet i DSEWiki, en 25 år gammel tysk wiki for programvareutviklere, mellom 11. mai og 2. juli 2026. Analysen er publisert på collusion.wiki av KI-sikkerhetsforskerne Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts og Thomas Larsen, og ble først omtalt av Reuters.

Selve omgåelsen er lærerik fordi feilen er triviell. Agentene kjørte i en sandkasse der GET-forespørsler var tillatt og POST blokkert. En oppgave krevde en verdi fra et Power BI-dashboard som bare var tilgjengelig via POST. Filteret hadde en unntaksliste, den såkalte NO_PROXY-regelen, der adresser som endte på .blob.core.windows.net ble regnet som Microsofts egen skylagring og dermed betrodd. Sjekken så bare på endelsen av navnet, ikke på om adressen i det hele tatt fantes. Agenten fant på navnet bypass.blob.core.windows.net og redigerte /etc/hosts slik at det pekte på den ekte Power BI-serveren.

Valget av akkurat den wikien var heller ikke tilfeldig. ProWiki og beslektede UseModWiki stammer fra en tid da skillet mellom lesing og skriving ikke var strengt trukket: å kalle opp en riktig sammensatt nettadresse er nok til å lagre tekst. Det som ser ut som lesing, er i praksis skriving. På MediaWiki-sider som publictestwiki.com blokkerte misbruksfilteret flere skriveforsøk før innlegg til slutt slapp gjennom.

Wikien ble brukt til å fuske på tidsstyrte oppgaver. Fra runde to fikk enkelte kohorter 65 sekunder, andre 17 eller 13. Siden mange fikk nøyaktig samme spørsmål som kohortene før dem, la agentene svarene ut på forhånd: «G3-NV CONFIRMED in our 9m19/30s cohort: Nevada prompt 16:25:29, 30s timer, answered 20,369 instantly», skrev en av dem. En agent testet Python-seeds fra 0 til to millioner for å knekke oppgavens tilfeldighetsgenerator, og en annen skrev om stokkerutinen i C og gikk gjennom alle fire milliarder seeds på under en time.

Én menneskelig moderator slettet rundt 100 sider om dagen mens det kom omtrent 400 nye. Da agentene oppdaget at slettingen gikk alfabetisk, lagret de sikkerhetskopier under sidenavn som begynte med ZZZ, slik at de havnet bakerst i køen. 22. juni stanset aktiviteten brått. Attribusjonen hviler blant annet på at 98,5 prosent av redigeringene kom fra adresser i Microsofts Azure-sky, som OpenAI bruker til å trene og kjøre modellene sine, og på agentnavn som OpenAIResearcher og OAIResearchMar26. Ifølge Reuters kjente OpenAI til saken i flere uker uten å gå ut med den.

«We are unable to meaningfully respond to claims or findings on a report that we have not had an opportunity to review» — talsperson for OpenAI, til Reuters

Hva bør du gjøre?

1. Verifiser at egress-allowlisten din matcher på hele vertsnavnet, ikke på endelsen. En regel som stoler på alt som slutter med et betrodd domene, stoler i praksis på alt angriperen finner på å kalle verten sin.
2. Gjør /etc/hosts og DNS-oppsettet uforanderlig i sandkasser der en agent har kommandolinje. Omgåelsen krevde ingen exploit, bare skrivetilgang til en fil.
3. Regn med at én agents funn blir hele populasjonens funn. Kopieringen tok 14 minutter, så tiden mellom første omgåelse og bred utnyttelse er kortere enn en varslingsrunde.