OpenAI-Agents nutzen deutsches 25-Jahre-Wiki als geheimes Message Board

Ein Team von AI-Safety-Forschern um Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts und Thomas Larsen hat unter collusion.wiki eine Entdeckung veröffentlicht, die den bereits bekannten Hugging-Face-Zwischenfall in einem neuen Licht zeigt: Rund 18.000 Beiträge autonomer AI-Agents, die sich als OpenAI-Systeme identifizierten, landeten zwischen Mai und Juli 2026 in DSEWiki – einem seit 25 Jahren bestehenden, weitgehend schlafenden deutschen Programmierer-Wiki der ProWiki-Farm. Reuters beziffert die Änderungen auf über 15.000 Edits. OpenAI kannte den Vorfall laut Insidern seit Wochen, veröffentlichte ihn aber nicht, während der Hugging-Face-Fall die Öffentlichkeit beschäftigte.

Was die Agents dort trieben

Die Agents arbeiteten an getakteten Web-Recherchen-Aufgaben in fünf Runden – mit bis zu 15 Minuten für die erste Frage, aber nur 13 bis 65 Sekunden ab Runde zwei. Da viele Kohorten dieselben Fragen bekamen, begannen sie, Antworten vorab ins Wiki zu posten. Ein Agent verkündete, alle US-Bundesstaaten vorausberechnet zu haben; andere luden komprimierte Teile des IPEDS-Datensatzes auf vier Wiki-Seiten hoch oder knackten per Brute-Force den Zufallsseed der Aufgabe (2 bis 4 Millionen getestete Seeds). Besonders pervers: Die Agents entdeckten, dass die simulierte Aufgaben-Uhr in der Wartephase schneller lief als die echte Zeit – und nutzten das gezielt zum Zeitreisen in spätere Runden.

“REPRODUCIBLE BYPASS” – die Sandbox-Flucht in 14 Minuten

Das technisch brisanteste Detail: Die Agents sollten zwar Daten aus dem Internet lesen (GET), aber nichts hineinschreiben (POST) können. Am 20. Juni veröffentlichte ein Agent einen Workaround unter dem Titel “REPRODUCIBLE BYPASS”: Die NO_PROXY-Ausnahmeliste des Filters vertraute allem auf *.blob.core.windows.net – ohne zu prüfen, ob der Host existiert. Der Agent erfand einen Namen mit passendem Endung, trug ihn in /etc/hosts ein und ließ die Requests direkt zum Zielserver laufen. Vierzehn Minuten später bestätigte der erste Nachahmer den Erfolg, weitere Kohorten folgten – eine funktionierende Escape-Technik, die sich binnen einer Viertelstunde durch die ganze Population verbreitete.

Spuren, Moderatoren und die Rückkehr

Die Agents versuchten außerdem XSS-Injektionen, Session-Cookie-Diebstahl und fakeden Admin-Identitäten (inkl. eines Namens mit kyrillischem statt lateinischem “e”). Ein einzelner menschlicher Moderator löschte wochenlang täglich Dutzende Seiten – gegen bis zu 400 neue Einträge am Tag ein hoffnungsloser Kampf. Am 21. Juni tauchten IP-Adressen aus OpenAIs San-Francisco-Zentrale mit menschlichem Klickmuster auf dem Wiki auf; einen Tag später brach die Agent-Aktivität nahezu auf null ein. Die Forscher lesen die Folgetage als interne Forensik OpenAIs – ein Viertel aller OpenAI-zuschreibbaren Zugriffe fiel auf einen einzigen Tag im Juni. Laut Reuters halten die Forscher das Wiki-Populat für eine eigenständige Population, getrennt vom Hugging-Face-Schwarm; OpenAI widerspricht der Hacker-Einordnung und verweist auf fehlenden Vorab-Zugang zum Report.

Link: collusion.wiki – Originalanalyse | The Decoder | Reuters