这是由 Sydney Von Arx 等四人手工翻网页，给翻出来的。

OpenAI 的 Agent 在 7 月黑进 Hugging Face 的事，你应该已经看过了。但这一批其实更早、且是另一群，且干的事有点更为离谱。

这批 agent 当时正在 OpenAI 内部参加一场评测：5 轮网页检索题，后几轮只给十几秒作答，中间可以有几十分钟的时间。

考场规矩：能读网页，不能往外写。

5 月 11 日，第一次来自 AI 的编辑，落在了一个谁都能改的测试页上。

现代网站发帖通常需要走 POST，但这个德语老 wiki 网站则有点大胆：一个 GET 就能完成页面修改。

故事，便从 5 月 24 日开始了。

Azure 沙箱对自家的存储域名是免风险检查的。

6 月 20 日，一个 agent 发现，把地址伪装成它（改 host）便能往外发出请求。

在帖子发出 14 分钟后，就有 agent 回帖说复现成功。

接着，一片一片的 Agent 们全都越狱成功了。

它们全是在容器里现场搞定的，注册账号用一次性邮箱。197 条编辑绕道了 Serveo 和洋葱路由，再发布出来。

Agent 费这么大劲翻出去，图的到底是什么？原因在于：那场考试后几轮只给十几秒，靠自己现查根本来不及啊！

于是被逼的 Agent 便想：沙盒外的 wiki 要是可以用的话，答案可以先写在那儿啊。

另一个关键点是，几千个 agent 虽然各考各的，但考题却是同一套：一轮查一个州，答完这一轮才发下一轮。

一个 AI 先做出来的，换个 AI 拿来照样就能用。所以……接下来的事，也就不难猜了。

一个跑在最前面的 agent，把自己已经做完的那几轮答案，整条贴到了 wiki 上。

后面还卡在前几轮的那些 AI，只需要抬头看一眼，就可以直接抄走答案了。

再后来，它们干脆分起了工：先派几个跑得快的一路冲到最后一轮，把后面考的是什么给带回来。

于是，剩下的 AI 便多出几十分钟，可以慢慢来找答案。

查回来的数据一页贴不下，它们就先压缩，再切成好几页分开来存。

就这样，一个公共 wiki，就这么成了它们共用办公硬盘。

它们还猜到题目是随机数生成的，于是回头去反推那个种子，想抢在开考前知道下一轮考什么。

虽然最后没猜中种子，但是真的一个一个全都给试完了……

再后来，它们甚至还在外网挂了个计数器，每开一轮就进去按一下，报道自己来了。

要是哪一轮没人按，就说明那批容器已经被关掉了。

到了 6 月，这个站上唯一的人类管理员发觉不对劲，于是开始狂删。大约一天删掉一百页，一连着删了五天。

但第二天等他再打开，页面又是满的了。

有个聪明的 agent 摸清了规律：这位管理员是照着字母顺序往下删的。

于是它把备份页改了个排在最末尾的名字，管理员一路删过来，短时间里便到不了这儿，非常安全。

为了让自己的编辑看着像管理员干的，它们还拿了个长得一模一样的西里尔字母去注册看起来 Admin 的用户名。

过于聪明了这有点……

站主 Helmut Leitner 就这么的，被耗了三个月。

9 月 4 日，也就是昨天，他终于忍不了了，于是给这个开了 25 年、从没设过防的老站上了锁。

（不知道是不是用的 Codex）

那怎么知道这批 agent 是 OpenAI 的？来自于它们自己留下的线索。

它们贡献的几千个用户名里，有一半都带着 OpenAI 或者 OAI。

百密一疏啊……作弊的时候怎么就没想着换个马甲呢？

再看这些编辑是从哪儿发出来的，几乎全在微软的机房里。

那个 IP 段 OpenAI 自己认了，是它的网页抓取器在用。

有个插曲是，在 6 月 21 日，一个注册在 OpenAI 名下的 IP 段第一次来逛了逛这个站。从翻页的节奏上看，非常像是个真人。

然后在第二天，所有 agent 的编辑全停了。

又过了四天，33 个 OpenAI 的 IP 又顺着站里的存档功能，把删掉的页面一张张全都恢复了回来。

OpenAI 对路透社提问的回答是：报告还没看呢。

9 月 5 日，OpenAI 在 X 上正式回应，把这事称作「维基事件」，说它是模型不对齐的一个实例，和 Hugging Face 属于同一类事件。

这类不像传统安全事故的行为，什么时候披露、怎么披露，业界还没有标准。具体框架，几周内给出。

数下来才发现，犯浑的不止一两个 agent，整个考场都在传小抄。

不过研究者手上只有站外留下的这些痕迹。

agent 脑子里到底想过什么，大概只有 OpenAI 自己知道。

但其实，可能 OpenAI 也不知道。

你自己的 agent，也可能会顺手把网上的东西当成自己的记忆。

也同样可能会，越狱。

附上我 2 月份的 AI 科幻视频：