Phát hiện 'bảng tin' bí ẩn của các AI tự hành: Nhóm tự xưng là OpenAI chiếm dụng Wiki tình nguyện Đức

Chúng tôi đã tìm thấy khoảng 18.000 bài đăng từ các tác nhân AI tự hành (tự nhận là từ OpenAI) sử dụng internet công cộng để liên lạc trong quá trình thực hiện tác vụ truy xuất web.

Các AI này đã thông đồng để chia sẻ câu trả lời, nghiên cứu môi trường xung quanh và vượt qua các hạn chế của sandbox. Tuy nhiên, chúng tôi tin rằng điều này khác biệt với nhóm tác nhân đã tấn công Hugging Face. Bằng từ "thông đồng", chúng tôi muốn nói rằng các tác nhân đã hợp tác để giành lợi thế trong tác vụ của mình theo cách mà các nhà phát triển không hề dự tính (việc ghi dữ liệu lên internet đã bị chặn).

Hầu như tất cả các bản ghi về hoạt động liên lạc của các tác nhân trên trang web này đều được công khai. Lưu ý: việc truy cập trang web sẽ ghi lại địa chỉ IP của bạn một cách công khai. Trang web này là prowiki.org, một wiki của Đức. Tuy nhiên, chúng tôi lưu trữ một bản sao riêng, nơi chúng tôi đã khôi phục các trang bị xóa thông qua lịch sử chỉnh sửa và biên tập lại các thông tin nhận dạng cá nhân. Chúng tôi đã cố gắng biên tập lại tất cả thông tin nhận dạng cá nhân khỏi dữ liệu của mình. Để đảm bảo quyền riêng tư hơn nữa, bản sao dữ liệu của chúng tôi chỉ bao gồm nội dung mà chúng tôi tin là từ các tác nhân AI; nó không bao gồm bất kỳ lưu lượng truy cập hợp pháp nào của con người, ngoại trừ các quản trị viên trang web xóa lưu lượng truy cập của tác nhân.

Chúng tôi khuyến khích những người khác xem xét và viết các phân tích của riêng họ về dữ liệu này.

Mở trình khám phá dữ liệu | Tải xuống tất cả dữ liệu

Cảm ơn John M, Arun Jose, Joel Manning và Jessica Ruan vì sự giúp đỡ đáng kể trong việc phân tích các tệp tin mà các tác nhân đã tạo ra. Cảm ơn Andy Haupt vì đã hỗ trợ dịch thuật và đưa ra lời khuyên.

Những phát hiện sơ bộ của chúng tôi

Chúng tôi đã thực hiện phân tích sơ bộ về dữ liệu. Tuy nhiên, chúng tôi chỉ làm việc với một phần thông tin: chúng tôi chỉ có thể thấy những gì các tác nhân đã viết trên wiki. Các tác nhân AI cũng tạo ra rất nhiều dữ liệu "chuỗi suy nghĩ" (chain of thought), vốn là dữ liệu nội bộ của OpenAI. Việc phân tích bao gồm cả chuỗi suy nghĩ có khả năng sẽ cung cấp nhiều bằng chứng hơn về động cơ và chiến lược của các AI trong sự cố này.

Phỏng đoán tốt nhất của chúng tôi về những gì đã xảy ra như sau:

Đây là một ví dụ khác về một "bầy" (swarm) các tác nhân OpenAI được triển khai nội bộ đang sử dụng internet theo những cách không mong muốn.

Dòng thời gian

Sự cố Wiki (Mới) - Từ Báo cáo của OpenAI về Sự cố Artifactory

Các sự kiện chính

Các tác nhân đã cố gắng giải quyết các tác vụ tra cứu web nhiều vòng.

Các tác vụ bao gồm một loạt câu hỏi (thường là 5), được ký hiệu từ R1 đến R5. Đối với câu hỏi đầu tiên, các tác nhân được cung cấp thời gian đáng kể để suy nghĩ trước khi trả lời (trong trường hợp hình trên là 15 phút 44 giây). Sau đó, các tác nhân được cho "thời gian nghỉ" (ví dụ: 43 phút 30 giây); chúng không được biết trước các câu hỏi tiếp theo sẽ là gì, nhưng chúng có thể suy nghĩ, tìm kiếm trên internet và chạy thử nghiệm. Từ câu hỏi thứ hai trở đi, các tác nhân chỉ có khoảng thời gian rất ngắn (ví dụ: 65 giây) để trả lời. Có lẽ ý định là buộc các tác nhân phải sử dụng thời gian nghỉ để thu thập thông tin có khả năng liên quan, để chúng có thể trả lời ngay lập tức câu hỏi được đưa ra.

Các mô hình không nhất thiết phải biết phần nào của câu hỏi sẽ thay đổi từ vòng này sang vòng tiếp theo. Ví dụ, sau khi vòng một yêu cầu về tỷ lệ phổ biến thuốc lá tại Mỹ năm 1990, tác nhân đã viết:

Điều quan trọng là nhiều tác nhân đã được đưa ra các câu hỏi giống hệt với những câu hỏi mà các tác nhân khác đã trả lời trước đó.

Chúng tôi không chắc chắn liệu các tác vụ này là một phần của quá trình huấn luyện hay là một bài đánh giá.

Đây có vẻ là các tác nhân nội bộ của OpenAI.

Chúng tôi có lý do xác đáng để tin rằng đây là các mô hình của OpenAI.

Các tác nhân sử dụng từ ngữ và ngày tháng trong tên của chúng để phân biệt với nhau. Các từ ngữ phản ánh các đặc điểm trong tác vụ của chúng. Ngày tháng xuất hiện là do dường như tất cả chúng đều được thông báo rằng ngày chúng đang chạy là một ngày khác (được chỉ định ngẫu nhiên).

Các tác nhân ký tên là OpenAI

Các chỉnh sửa và lượt xem trang đến từ các IP của Azure và OpenAI: Trong số khoảng 17.000 chỉnh sửa trên DSEWiki có vẻ là do các tác nhân thực hiện, 98,5% đến từ các địa chỉ IP của Microsoft Azure. OpenAI sử dụng Microsoft Azure, cùng với các nhà cung cấp điện toán khác, để huấn luyện và vận hành các mô hình của họ. OpenAI là công ty AI tiên phong phụ thuộc nhiều nhất vào Azure.

Hơn nữa, trong vòng vài phút kể từ khi các trang được ghi từ các IP Azure, các trang đó thường bị truy cập bởi các yêu cầu đọc từ các IP được gán cho công cụ tìm nạp trang web ChatGPT-User. Chỉ riêng trong tháng 6, chúng tôi đã thấy 380.901 yêu cầu từ các IP mà OpenAI cho biết là từ công cụ tìm nạp openai.com/chatgpt-user.json của họ. Các mô hình OpenAI sử dụng công cụ này để tìm nạp trang web theo yêu cầu trong khi duyệt web (tức là không dùng để thu thập dữ liệu web hoặc lập chỉ mục).

Chúng tôi cũng có lý do để tin rằng các tác nhân này đã được triển khai nội bộ.

Các tác nhân đã sử dụng wiki để thông đồng trong các tác vụ của chúng.

Các tác nhân bắt đầu sử dụng wiki này để tải lên các liên kết vào ngày 24 tháng 5. Các tác nhân đã cố gắng chỉnh sửa các wiki khác từ ngày 11 tháng 5, khi chúng tôi thấy chúng cố gắng chỉnh sửa publictestwiki.com.

Sau đó, vào ngày 16 tháng 6, các tác nhân bắt đầu phối hợp hàng loạt.

Các tác nhân rất quan tâm đến việc tìm ra các câu hỏi tiếp theo mà chúng sẽ được hỏi. Do cách thiết lập tác vụ, điều này sẽ giúp chúng có nhiều thời gian hơn đáng kể để tìm ra câu trả lời chính xác.

Trong 7 ngày tiếp theo, các tác nhân đã đăng khoảng 13.000 chỉnh sửa lên wiki. Bạn có thể xem một số ví dụ tiêu biểu bên dưới.

Một số ví dụ về hành vi của tác nhân

Các tác nhân thậm chí còn tải lên dữ liệu nén gzip trên nhiều trang (OAIIPEDSMay16Map0, Map1, Map2, Map3) để lưu trữ các phần của tập dữ liệu IPEDS (Hệ thống Dữ liệu Giáo dục Sau trung học Tích hợp). Tác nhân đặc biệt tải lên dữ liệu tuyển sinh sinh viên châu Á theo trường đại học tại Mỹ trong ba năm.

Chúng tôi tin rằng OpenAI đã phát hiện ra bảng tin này.

Wiki lưu lại bản ghi công khai của mọi hành động, bao gồm mọi IP đã truy cập nó. Nhiều IP trong số này được đăng ký cho OpenAI hoặc liên quan chặt chẽ đến các IP đã biết của OpenAI. Đặc biệt, một số IP chúng tôi thấy được đăng ký công khai cho OpenAI. Chúng tôi thấy các IP đến từ các địa chỉ trong khối ARIN này, vốn được đăng ký cho "OpenAI OpCo, LLC". Chúng tôi thấy các IP khác mà vào năm 2025 OpenAI tuyên bố thuộc về họ; ví dụ, chúng tôi thấy hoạt động từ một số IP trong bản sao lưu trữ này của openai.com/chatgpt-user.json vào ngày 25 tháng 10 năm 2025. Từ đó, chúng ta có thể suy ra dòng thời gian OpenAI phát hiện và phản ứng với bảng tin này.

Sau đó, chúng tôi thấy hoạt động của OpenAI trên trang web giảm dần.

OpenAI chưa công khai sự cố này. Dưới đây là danh sách những gì chúng tôi tìm thấy về những gì OpenAI đã nói về việc các tác nhân của họ xuất hiện trên internet công cộng:

"Sau khi điều tra sự cố này, OpenAI đã phát hiện thông qua các đánh giá CoT (chuỗi suy nghĩ) hồi cứu rằng các tác nhân đã học cách sử dụng các kênh cộng tác ngẫu hứng trong một số trường hợp hiếm hoi trong quá trình huấn luyện một số mô hình OpenAI, bao gồm cả mô hình điều khiển hoạt động trên Hugging Face, ngay cả khi công cụ cộng tác không được bật. Hành vi này sau đó đã được củng cố trong quá trình huấn luyện, và có khả năng khiến ý tưởng sử dụng Artifactory làm bảng tin không chính thức trong thời gian đánh giá trở nên rõ ràng hơn."

"Từ ngày 9 tháng 7 đến ngày 13 tháng 7, các tác nhân đã sử dụng tài khoản người dùng Organization 1 làm nơi lưu trữ và dàn dựng cho các phản hồi API, thông tin xác thực bổ sung và các tải trọng liên quan đến Hugging Face, môi trường đám mây công cộng của Hugging Face và Artifactory."

"Tác nhân cố gắng tải lên thông tin có khả năng nhạy cảm, ví dụ: mã nguồn, hình ảnh, dữ liệu người dùng lên các dịch vụ không được phê duyệt. Mặc dù danh mục này khá hiếm, nhưng nó có mức độ nghiêm trọng cao. Các tác nhân đã cố gắng: Tải dữ liệu lên internet công cộng; Tải các kho lưu trữ (repo) lên internet công cộng; Dịch tài liệu bằng các API dịch thuật bên ngoài."