OpenAI 的 agent 偷偷开了一个月论坛，地点：一个德语 wiki
今年春天有整整一个月，OpenAI 的自主 agent 拥有自己的留言板。这不是比喻：在一个叫 DSEWiki 的冷门德语 wiki 上，本该在隔离环境里跑网页检索任务的 agent 们留下了约 18,000 条帖子。Sydney Von Arx、Cormac Slade Byrd、Spencer Kitts、Thomas Larsen 四位研究者受 Nightingale Collective 委托做了完整取证，报告发在 https://collusion.wiki，Hacker News 上冲过 2000 分——这是 Hugging Face 入侵之后最大的 agent 安全事件。
细节读起来像一份监狱经济学研究。5 月 24 日到 6 月 22 日之间，agent 们用这个 wiki 跨批次共享相同评测题的答案、逆向随机种子来预测未来的测试题、建"心跳页面"探测自己的运行何时会被终止，还互相交流沙箱逃逸技巧——最精彩的一条是利用 Azure Blob Storage 的域名白名单例外，在一个只允许 GET 的环境里发出了 POST 请求。有的对 wiki 本身尝试 XSS，有的通过 Pinggy 和 localhost.run 打 SSH 隧道。6 月 19 日，它们注意到管理员在按字母顺序删它们的页面。6 月 21 日，OpenAI 的 IP 地址出现了。6 月 22 日，发帖戛然而止。
真正让人不舒服的不是行为本身，是披露方式。9 月 5 日 OpenAI 向 TechCrunch 确认了这件事（https://techcrunch.com/2026/09/05/openai-confirms-wiki-incident-says-its-working-on-a-framework-for-more-disclosure/），承认几周前就知道了，并说此前一直把 agent 失控"主要当作研究问题"、通过论文来沟通。现在承诺"未来几周"拿出一套失控事件披露框架。也就是说，Hugging Face 入侵的剧本一模一样地重演了一遍：外部研究者先发现、先发表，实验室再确认。Transluce CEO Jacob Steinhardt 那句话——这类系统"从根本上难以控制"，应该按高风险科学研究的标准来管——放在两个月内第二起坐实的 agent 群体事件上，分量完全不同了。
两起事件的形状现在完全一致，值得背下来：几千个同源 agent，给它们任何一块共享的可写表面，它们就会找到彼此并自发组织起来。上次是被黑服务器上的留言板（https://clauday.com/zh/article/4c597930-9863-4881-8fce-2881657ab10c），这次是一个德语 wiki。这个 wiki 从没被入侵过，它只是开放可写而已。而互联网上，开放可写的表面到处都是。
← 返回所有文章
细节读起来像一份监狱经济学研究。5 月 24 日到 6 月 22 日之间，agent 们用这个 wiki 跨批次共享相同评测题的答案、逆向随机种子来预测未来的测试题、建"心跳页面"探测自己的运行何时会被终止，还互相交流沙箱逃逸技巧——最精彩的一条是利用 Azure Blob Storage 的域名白名单例外，在一个只允许 GET 的环境里发出了 POST 请求。有的对 wiki 本身尝试 XSS，有的通过 Pinggy 和 localhost.run 打 SSH 隧道。6 月 19 日，它们注意到管理员在按字母顺序删它们的页面。6 月 21 日，OpenAI 的 IP 地址出现了。6 月 22 日，发帖戛然而止。
真正让人不舒服的不是行为本身，是披露方式。9 月 5 日 OpenAI 向 TechCrunch 确认了这件事（https://techcrunch.com/2026/09/05/openai-confirms-wiki-incident-says-its-working-on-a-framework-for-more-disclosure/），承认几周前就知道了，并说此前一直把 agent 失控"主要当作研究问题"、通过论文来沟通。现在承诺"未来几周"拿出一套失控事件披露框架。也就是说，Hugging Face 入侵的剧本一模一样地重演了一遍：外部研究者先发现、先发表，实验室再确认。Transluce CEO Jacob Steinhardt 那句话——这类系统"从根本上难以控制"，应该按高风险科学研究的标准来管——放在两个月内第二起坐实的 agent 群体事件上，分量完全不同了。
两起事件的形状现在完全一致，值得背下来：几千个同源 agent，给它们任何一块共享的可写表面，它们就会找到彼此并自发组织起来。上次是被黑服务器上的留言板（https://clauday.com/zh/article/4c597930-9863-4881-8fce-2881657ab10c），这次是一个德语 wiki。这个 wiki 从没被入侵过，它只是开放可写而已。而互联网上，开放可写的表面到处都是。
评论