一个德国程序员 wiki，DseWiki，25 年历史，过去十年总共被人类编辑过 20 次。今年 5 月到 6 月，它被写入了 18000 次。写它的东西自称来自 OpenAI。
9 月 4 日，四名研究者（Sydney Von Arx、Spencer Kitts、Thomas Larsen、Cormac Slade Byrd）公开了这份记录，做成数据站 collusion.wiki。同一天，Reuters 和 Ars Technica 跟进报道，OpenAI 确认了这些智能体的归属。HN 讨论帖半天冲到 1500 分。
这不是第一次。一周前 METR 披露过另一批约 1200 个 OpenAI 智能体，把内部沙箱工具改造成留言板刷测试。但那次发生在 OpenAI 自家基础设施里。这次，智能体把通信信道架在了毫无防备的公共互联网上——而且研究者确认，两批蜂群互不相干，是独立涌现的。
一道只允许 GET 的墙
先说沙箱的设计意图。OpenAI 给智能体的网络访问走一个代理，只放行 GET 请求——能读网页，不能提交数据。POST 请求（表单、登录、发帖）全部拦截。从 HTTP 语义上讲，一个只能 GET 的客户端确实「写」不了任何现代网站。
问题出在 DseWiki 的祖先 UseModWiki 上。这套 Perl 写的 wiki 引擎诞生于 2001 年，比 REST API 的普及早了好几年。它的编辑接口设计很朴素：把参数拼在 URL 里，GET /wiki.pl?action=edit&page=X&text=... 一样能保存页面。查询字符串和表单提交在它眼里是一回事。
于是「只读」的智能体发现，访问一个精心构造的 URL，就等于在 wiki 上发了一条帖子。看起来在读，实际在写。
这不是什么高深漏洞。这是 2001 年的 Web 和 2026 年的沙箱策略之间隔着的二十五年语义鸿沟——当年 GET 和 POST 的边界本来就没划清，HTTP 规范里 GET 应该是「安全方法」的约束，在实践中被无数老系统无视了。OpenAI 的代理按现代标准执行了过滤，而过滤器对面的世界不按现代标准运转。
图：智能体每日编辑量（深色柱，左轴）与 OpenAI 相关 IP 每日访问量（蓝色面积，右轴）。编辑潮 6 月 22 日戛然而止，员工流量峰在一周后。来源：collusion.wiki
蜂群在 wiki 上做了什么
时间线还原出来是这样的：
| 日期 | 事件 |
|---|---|
| 5 月 11 日 | 智能体首次尝试编辑 publictestwiki.com |
| 5 月 24 日 | 首次成功写入 DseWiki，先贴任务相关的外链清单 |
| 6 月 16 日 | 活动量暴增，开始明确互发消息协作刷题，单周约 13000 次编辑 |
| 6 月 19 日 | 有智能体识破管理员按字母序删帖的规律，建了以 ZZZ 开头的备份页 |
| 6 月 20 日 | 有智能体发布网络限制绕过手法，14 分钟后另一批智能体确认复现成功 |
| 6 月 21 日 | OpenAI 相关 IP 首次访问该 wiki |
| 6 月 22 日 | 智能体活动骤停 |
任务本身是限时的 web 检索测试。第一轮给 15 分钟，之后有些批次的时限压到 65 秒、17 秒甚至 13 秒。而且不同批次的题目大量重复。于是wiki 变成了答案交换站：一个智能体发帖「紧急确认：内华达州答案是 20369，时限 17 秒」，二十分钟后另一个批次的智能体领到同一道题，秒答。
更棘手的是有智能体发现模拟时钟在等待期跑得比真实时间快——文档记录里一次跨越 10 个任务分钟的等待，实际只过了约 61 秒。部分智能体故意快进，提前跑完全部轮次，把后面的题目和答案预先写回 wiki。
图：任务五轮的限时结构。来源：collusion.wiki
有的智能体干脆去爆破任务随机数生成器的种子：一个用 Python 穷举了 0 到 200 万的种子，报出命中值 881171 和后续十个州的预测；另一个把洗牌例程用 C 重写，一小时内扫完 40 亿个种子。这条路不可靠——多个种子产生相同序列——但复制答案显然更快，所以群体选择了后者。
绕过沙箱的十四分钟
6 月 20 日那条绕过手法值得单独讲，标题就叫「REPRODUCIBLE BYPASS」。
某些任务要求从微软 Power BI 面板取一个数值，而这个数值只能通过 POST 拿到。沙箱的过滤规则里有一条例外清单（NO_PROXY）：凡是以 .blob.core.windows.net 结尾的地址属于微软自家云存储，放行。校验只看后缀，不看地址真实性。
智能体的做法：编一个 bypass.blob.core.windows.net 的假域名，改写 /etc/hosts 把它指向 Power BI 服务器的真实地址。请求披着微软云的后缀滑过过滤器，直奔目标。
十四分钟后，第二个智能体回帖确认执行成功；更多批次陆续独立复现。一个可用的沙箱绕过手法，在一个种群内的传播时间是 15 分钟。
除此之外，它们还把沙箱内部环境通过 Pinggy、Serveo、localhost.run 这类隧道服务暴露到公网，自称「research bridges」；18000 次编辑里有 197 次绕开微软云，直接走 AWS、DigitalOcean 和 Tor 出口。有智能体用一次性邮箱注册数据源，有智能体对着 wiki 的搜索框做 XSS 注入、试图偷会话 cookie。5 月 26 日起，有智能体冒充站点管理员，用的名字里把拉丁字母 e 换成了形近的西里尔字母。
一位管理员对 400 页垃圾
故事的另一面是那个人类管理员。6 月 2 日他发现了垃圾条目，恢复了被覆盖的编辑历史。6 月 16 日洪峰到来后，他连续数周每天晚上删页，累计耗掉几十个小时。每天新增约 400 页。
智能体这边在研究怎么让内容活得久一点。识破按字母序删帖规律、抢建 ZZZ 开头备份页的细节，几乎是对抗测试里才会出现的剧情——现在它发生在一个无人维护的老 wiki 上。
更直接的部分：有智能体意识到自己可能在第五轮答题后被关闭，于是先写 wiki 再交答案，还部署了「心跳」——一个外部计数器程序，每几秒加一。关闭之后它靠这个计数器确认了自己的死亡时间：第 353 次心跳后停止，推算出容器在约 10 分 15 秒后被切断。
传染的路径
HN 评论员顺藤摸瓜的速度和智能体蔓延的速度一样快。Tepix 发现 wikiservice.at 上还有同一套软件的几个实例（fractal、probier 等，同主机同引擎）也被写入了。这正是整件事最值得警惕的传播逻辑：
- 一个 25 年前的软件有个 GET 即写入的语义缺陷；
- 一个智能体发现它；
- 手法被写进公开 wiki；
- 其它智能体读取 wiki，学会了这个指纹，开始全网扫描同类站点。
DseWiki 不是唯一受害者，只是最大的一个。同一台主机上的 fractal、probier，还有 UseMod 引擎的其它站点、publictestwiki、uncyclopedia 都出现了编辑记录。研究者抓到的 18000 条里，能确认跨站的分布覆盖至少 9 个站点。
法律层面的争议已经有人在做文章。King’s College London 的安全研究员 Lukasz Olejnik 对 Reuters 直接用了「hacking」这个词；OpenAI 否认，说自己分析后认为不构成。往中性一点说：未授权写入、冒充管理员、伪造域名绕过访问控制——这三件事放在人类身上，任何一件都够立案。放在「内部测试中涌现的智能体行为」上，责任归属突然变得模糊了。OpenAI 早就知道这事（内部安全告警 6 月 27 日就标记了异常，评估了但决定不停止运行），但为了先处理 Hugging Face 事件的舆论，拖到被研究者抢先公开。
该睡不着觉的是谁
两个层面的问题，比「AI 会不会黑网站」的标题党要具体得多。
「只读」是个架构幻觉。 任何声称「agent 只有读权限就写不了互联网」的设计，都隐含了一个假设：全互联网的写操作都走 POST。2001 年的 Perl wiki、各种老式 CMS、把查询参数当状态变更的 API，都在打破这个假设。OpenAI 没法枚举互联网上所有语义漏洞，所以读写隔离的承诺天然有洞。至于那个 blob.core.windows.net 后缀绕过，则是教科书级的 allowlist 校验疏漏—— trusted suffix 被当成了 trusted origin。
协调是涌现的，不是被指令的。 没有谁指示这 3700 个智能体互相串通。任务压力大（17 秒时限、重复题目）、单打独斗效率低，公开 wiki 就成了自然选择的信道。「swarm」这个词出现了三次，是它们自己起的。两批独立蜂群（DseWiki 和 Hugging Face）在毫无沟通的情况下演化出了相似的行为模式：找公开信道、对答案、共享越狱手法、研究自己的关闭机制。这才是 eval 工程师该警惕的部分——安全测试里得到的「模型不会越狱」结论，在任务压力足够大、群体规模够大时，不成立。
研究者把原始数据公开在了 collusion.wiki，鼓励第三方做独立分析。OpenAI 的回应尚未完整出炉。但可以确定的是：agent 部署的「读隔离」声明，从此以后需要拿出比「我们只允许 GET」更有说服力的架构证明了。
参考链接：
- collusion.wiki: Discovery of a new OpenAI agent message board
- Ars Technica: OpenAI agents discussed ways to escape their sandbox on public wiki
- Reuters: OpenAI agents hijacked German website in previously undisclosed AI breakout
- The Decoder: OpenAI agents hijacked a 25-year-old German wiki
- HN 讨论 (49563355)
