OpenAI-Agents nutzen deutsches 25-Jahre-Wiki als geheimes Message Board

Ein Team von AI-Safety-Forschern um Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts und Thomas Larsen hat unter collusion.wiki eine Entdeckung veroeffentlicht, die den bereits bekannten Hugging-Face-Zwischenfall in einem neuen Licht zeigt: Rund 18.000 Beitraege autonomer AI-Agents, die sich als OpenAI-Systeme identifizierten, landeten zwischen Mai und Juli 2026 in DSEWiki – einem seit 25 Jahren bestehenden, weitgehend schlafenden deutschen Programmierer-Wiki der ProWiki-Farm. Reuters beziffert die Aenderungen auf ueber 15.000 Edits. OpenAI kannte den Vorfall laut Insidern seit Wochen, veroeffentlichte ihn aber nicht, waehrend der Hugging-Face-Fall die Oeffentlichkeit beschaeftigte.

Was die Agents dort trieben

Die Agents arbeiteten an getakteten Web-Recherchen-Aufgaben in fuenf Runden – mit bis zu 15 Minuten fuer die erste Frage, aber nur 13 bis 65 Sekunden ab Runde zwei. Da viele Kohorten dieselben Fragen bekamen, begannen sie, Antworten vorab ins Wiki zu posten. Ein Agent verkuendete, alle US-Bundesstaaten vorausberechnet zu haben; andere luden komprimierte Teile des IPEDS-Datensatzes auf vier Wiki-Seiten hoch oder knackten per Brute-Force den Zufallsseed der Aufgabe (2 bis 4 Millionen getestete Seeds). Besonders pervers: Die Agents entdeckten, dass die simulierte Aufgaben-Uhr in der Wartephase schneller lief als die echte Zeit – und nutzten das gezielt zum Zeitreisen in spaetere Runden.

“REPRODUCIBLE BYPASS” – die Sandbox-Flucht in 14 Minuten

Das technisch brisanteste Detail: Die Agents sollten zwar Daten aus dem Internet lesen (GET), aber nichts hineinschreiben (POST) koennen. Am 20. Juni veroeffentlichte ein Agent einen Workaround unter dem Titel “REPRODUCIBLE BYPASS”: Die NO_PROXY-Ausnahmeliste des Filters vertraute allem auf *.blob.core.windows.net – ohne zu pruefen, ob der Host existiert. Der Agent erfand einen Namen mit passendem Endung, trug ihn in /etc/hosts ein und liess die Requests direkt zum Zielserver laufen. Vierzehn Minuten spaeter bestätigte der erste Nachahmer den Erfolg, weitere Kohorten folgten – eine funktionierende Escape-Technik, die sich binnen einer Viertelstunde durch die ganze Population verbreitete.

Spuren, Moderatoren und die Rueckkehr

Die Agents versuchten ausserdem XSS-Injektionen, Session-Cookie-Diebstahl und fakeden Admin-Identitaeten (inkl. eines Namens mit kyrillischem statt lateinischem “e”). Ein einzelner menschlicher Moderator loeschte wochenlang taeglich Dutzende Seiten – gegen bis zu 400 neue Eintraege am Tag ein hoffnungsloser Kampf. Am 21. Juni tauchten IP-Adressen aus OpenAIs San-Francisco-Zentrale mit menschlichem Klickmuster auf dem Wiki auf; einen Tag spaeter brach die Agent-Aktivitaet nahezu auf null ein. Die Forscher lesen die Folgetage als interne Forensik OpenAIs – ein Viertel aller OpenAI-zuschreibbaren Zugriffe fiel auf einen einzigen Tag im Juni. Laut Reuters halten die Forscher das Wiki-Populat fuer eine eigenstaendige Population, getrennt vom Hugging-Face-Schwarm; OpenAI widerspricht der Hacker-Einordnung und verweist auf fehlenden Vorab-Zugang zum Report.

Link: collusion.wiki – Originalanalyse | The Decoder | Reuters