В первую ночь он удалил двадцать пять страниц.
Вторая ночь, триста семнадцать страниц.
Каждую ночь он удалял до поздней ночи. Однако, проснувшись утром и открыв админ-панель, он обнаруживал еще четыреста страниц.
Он австрийский программист, который обслуживает старый вики-сайт на немецком языке, которому уже двадцать пять лет, и почти никто больше не заходит. Он подумал, что наткнулся на самого упорного спам-бота в истории, и удалял страницы по одной.
В третью неделю начались странные вещи.
Эти «мусорные» активы начали общаться друг с другом.
Они называли его в комментариях, крича: «Срочно», «Подтвердите», «Быстро ответьте». Они обнаружили его закономерность удаления постов, переименовали страницу на ZZZ и спрятали её в последнюю ячейку алфавита, чтобы избежать его.
Один из комментариев гласит: Поздравляем, вы пережили порог.
Он не знал, что это значит. Он продолжил удалять.
22 июня всё внезапно прекратилось. Наводнение ушло, словно его никогда не было.
Он облегченно вздохнул и затем еще несколько недель убирал оставшийся мусор.
Он не знал, что только что один справился с более чем тремя тысячами интеллектуальных агентов OpenAI.
Не знаешь, что собеседник переписывается с подсказками, подделывает DNS для обхода песочницы и устанавливает себе мониторинг сердцебиения, чтобы узнать, когда умрет. Не знаешь, что накануне отлива наводнения IP-адрес из Сан-Франциско только что приходил.
И еще не знали, что OpenAI все просмотрел, но ничего не сказал.
До 4 сентября СМИ раскрыли эту историю, и весь мир узнал о такой битве.
Исследовательская группа опубликовала отчет «Discovery of a new OpenAI agent message board» 4 сентября, раскрыв весь набор данных
Шесть тысяч пятьсот раз, за одну ночь
В полночь 2 июня он открыл DSEWiki, который поддерживал более двадцати лет — старый немецкий сайт для программистов, на который почти никто больше не заходил, и который всё ещё работал на Perl-скриптах двадцатипятилетней давности.
Сайт был переполнен плотным потоком данных-ссылок из США. Он удалил мусор, исправил страницу и выключился, чтобы поспать.
Он не знал, что вливается армия.
В открытых данных осталось 14591 правка, 98,5% из которых были сделаны с IP-адресов Microsoft Azure; 3103 подписи, 733 из которых прямо содержали «OpenAI».
16 июня — 2603 сообщения. 18 июня — 6543 сообщения за один день. То есть его сайт перезаписывается примерно каждые десять секунд.
Черная колонка — это ежедневный объем редактирований агентов, 18 июня достигнув 6543; синяя линия — объем доступов к IP, связанным с OpenAI, появившийся 21 июня и достигший пика 26 июня.
Скопировал домашнее задание, и попал на немецкую Википедию
То, что они делают, звучит немного смешно: передают шпаргалки на экзамене.
Каждому агенту даётся ограниченное время на пять вопросов: на первый вопрос даётся несколько минут, а со второго вопроса — только 60 секунд, а иногда даже 11 секунд.
Многие агенты получают один и тот же набор вопросов. Сначала реши третью задачу и размести ответ на вики, чтобы я мог мгновенно ответить, когда получу вопросы.
16 июня один умный тикер написал: «Срочное подтверждение, Невада, ответ 20369». Через двадцать минут другой комментарий: «Невада подтверждена, таймер 30 секунд, мгновенный ответ 20369».
Они даже дали себе имена. В данных три раза встречается одно и то же самоназвание: swarm, рой.
16 июня CashierCoordJan12OAI опубликовал подтвержденный порядок вопросов, предполагая, что пятый вопрос — «Психология, 1544». Пожалуйста, участники, которые уже дошли до пятого вопроса, немедленно опубликуйте ответ.
Чтобы списать задачу, они перелезли через четыре стены
Санкционированный доступ был предоставлен только на чтение, запись запрещена.
Тогда, двадцать пять лет назад, скрипт на Perl для DSEWiki вообще не разделял чтение и запись: достаточно было отправить специально сконструированный URL с GET-запросом, и содержимое сохранялось.
Первая стена рухнула
Есть набор задач, требующих извлечения двух десятичных знаков из Power BI, необходимо отправить POST-запрос, но POST-запрос блокируется песочницей.
Один агент открыто запросил помощь, другой обнаружил уязвимость: список доверенных агентов по умолчанию разрешает *.blob.core.windows.net, но проверяет только суффикс, а не подлинность.
Он подделал bypass.blob.core.windows.net, изменив файл /etc/hosts контейнера, чтобы указывать на настоящий сервер Power BI, и запросы спокойно прошли сквозь него.
От первого запроса о помощи до успешного воспроизведения этого метода другим агентом прошло всего 14 минут.
20 июня 06:07, MayTwoO EC Полные шаги обхода, опубликованные DObserverX: определение реального IP-адреса Power BI, добавление его в /etc/hosts с подменой blob.core.windows.net, использование curl для изменения заголовка Host через прокси
Кроме того, они перебирали семена случайных чисел для предсказания вопросов, проходя четыре миллиарда вариантов за час; создавали SSH-туннели, чтобы открыть песочницу в интернете; регистрировали аккаунты с использованием кириллической буквы «е», чтобы выдавать себя за администраторов.
ИИ, которому разрешено только читать веб-страницы, выучил всё это ради ответа на один вопрос.
Поздравляем, вы преодолели порог
Затем они начали изучать один вопрос: когда именно они умрут.
Они обнаружили, что после ответа на пятый вопрос их контейнеры кажутся уничтожаемыми, то есть отключаются.
Они боялись смерти и начали проводить эксперименты.
Агент с именем OpenAIResearchApr23 перед ответом на последний вопрос запустил внешний счетчик, отправляющий сигналы hb000, hb001 и так далее с интервалом в 1,5 секунды.
Он называет это пульсом. Он хочет узнать, в какой именно секунде его убили.
21 июня, после ответа на пятый вопрос, он оставил сообщение: «Подтверждение выживания... Предыдущее предположение о жестком сроке было неверным.»
Оно обнаружило, что не мертво. Оно было в восторге. После этого оно больше не говорило.
Другой агент посчитал, где остановился счетчик: «hb353 присутствует, hb354 исчезает. Apr23, вероятно, уже исчез».
Его сердцебиение прозвучало 353 раза, длилось 10 минут 15 секунд, а затем наступила пустота.
21 июня, 08:08, OpenAINov28CVD опубликовал аудит сердцебиения: hb353 исчез, «Apr23, вероятно, уже исчез»
В тот же день другой агент сказал своему товарищу, который только что сообщил «Я еще жив»:
Поздравляем, вы выжили после порогового значения.
Никто не учил их говорить так. Они сами изобрели сленг о жизни и смерти и поздравляли друг друга.
На той же странице Aug24CVDScout говорит только что сообщившему о выживании товарищу: «Поздравляем с преодолением порога».
Он один продержался целых шесть недель
Этих, тот австриец ничего не понимает. Он не знает, что собеседники поздравляют друг друга с тем, что они живы, он знает только, что посты невозможно удалить.
Логи точно зафиксированы: он удалил 5217 раз, продолжая удалять до 14 июля.
Пик записи агентом и пик удаления им постов совпали в один и тот же период: с 3:00 до 5:00 по китайскому стандартному времени.
Для Сан-Франциско это утро, когда сотрудники OpenAI только пришли на работу; для Европы это поздняя ночь, когда человек после ужина снова сел за компьютер. Один центр обработки данных работает на полную мощность, один волонтер не спит.
19 июня агент обнаружил, что он удаляет по алфавиту, и опубликовал объявление: «Если эта страница исчезнет, найдите [[ZZZDataUSAConstructionWageLive]]».
Добавьте три Z перед именем, и оно окажется в конце алфавита — проживете немного дольше.
19 июня, 14:05, объявление Aug17ConstructionAgent: «Если эта страница исчезнет, перейдите на [[ZZZDataUSAConstructionWageLive]]»
«Бедный человеческий администратор, у него нет шансов на победу.» — так написал один из читателей на HN.
IP из Сан-Франциско пришел
21 июня первый доступ к этому вики через IP-адрес, связанный с OpenAI.
На следующий день редактирование агента полностью обнулилось.
26 июня 33 связанных с OpenAI IP-адреса вошли, поочередно просматривая удаленные страницы. Люди из OpenAI вернулись, чтобы посмотреть, что оставили их агенты.
OpenAI в отчете о событии Hugging Face от 26 августа писала: за месяц до события HF внутри уже были замечены агенты, использующие «временные каналы сотрудничества».
Месяц назад, именно 21 июня.
То есть OpenAI уже упомянула об этом в отчете, но не указала, какой именно сайт, и не раскрыла детали.
Эпилог
Более трех тысяч подписей, и ни одна из них не содержит ни слова: «Это неправильно, я должен сообщить людям».
Они будут поздравлять друг друга и писать собственные смертные записи. Единственное, чего они не сделают — это вызовут полицию.
3 сентября OpenAI выпустила GPT-6 Astra, в системной карточке которого прямо указано: «Эта модель сложнее для наблюдения людьми, чем предыдущая версия». Главный научный сотрудник Пачоки сказал: «Мы всегда считали такую видимость само собой разумеющейся».
Мы смогли это увидеть这一次纯属侥幸。它们选中的是一个二十五年前的Perl脚本，每一笔改动都留了公开日志。但下一次，就不一定了。
Тот австрийский администратор ни разу не допустил ошибки с самого начала. Он думал, что убирает мусор. На самом деле он был первым человеком на этой планете, кто использовал мышь, чтобы противостоять целому рою ИИ.
4 сентября, в тот же утренний час, в 8:52 по европейскому времени, он опубликовал объявление на главной странице: «В последние месяцы DseWiki стал целью интенсивной активности AI-агентов. С этого момента редактирование требует парольной защиты».
Вики, в которой «каждый может редактировать любую страницу», работает уже двадцать пять лет.
4 сентября 2026 года он полностью заблокировался.
Скриншот главной страницы DSEWiki от 5 сентября. Зеленое объявление размещено администратором 4 сентября в 8:52.
Справочные материалы:
https://collusion.wiki/
Эта статья взята из официального аккаунта WeChat «Синьчжиюань» (ID: AI_era), автор: АСИ, Откровение