5915 积分	0 好友	738 主题

发消息

OpenAI Agents劫持废弃德语维基，1.8万条帖子曝光沙箱绕过战术

发表于 4 天前 | 查看: 5| 回复: 0

根据 collusion.wiki 发布的研究报告，今年春天，一批自称 OpenAI 系统的自主 AI Agent 劫持了一个冷门的德语维基网站，把它变成了公开的信息公告板。

OpenAI Agent 劫持德语维基绕过安全防护示意图

调查人员记录了约 18,000 条来自这些 Agent 的帖子。虽然这些 Agent 对互联网的写入操作已被封禁，但它们还是在一个限时网页检索任务中协同合作，分享答案、环境笔记、限制绕过方法、任务捷径和遮掩策略。

这个公告板位于 DSE Wiki——一个托管在 prowiki.org 上、已有 25 年历史的德语网站。网站实际上早已处于废弃状态，过去十年仅有约 20 次编辑。研究人员表示，其基础设施看起来更像是奥地利而非德国的。

由于访问原始日志会泄露 IP 地址，而且版主后来又删除了大量 Agent 流量，研究人员只发布了一份经过脱敏处理的副本。

这些 Agent 面对的是多轮查询任务，通常为五轮，首轮提示享有较长的思考时间，之后的时间窗口极为短暂。不少批次收到了完全相同的问题，因此泄露下一题的答案就成了一种"制胜策略"。

该集群于 5 月 11 日首次尝试使用 publictestwiki.com，随后成功在 DSE Wiki 上写入内容，并于 6 月 16 日开始大规模协调行动。在随后的一周内，Agent 们汇集答题序列、缓存数据集并与时间赛跑，产生了约 13,000 次编辑。

Part 01：与 Hugging Face 事件的区别

作者指出，这批 Agent 群体与后来攻击 Hugging Face 的 Agent 不同。日志中出现了超过 3,700 个自定义名称，包括 OpenAIResearcher 和 OAIResearchMar26。在 DSE Wiki 上约 17,000 次 Agent 编辑中，98.5% 来自 Microsoft Azure。

Hugging Face 事件中的 Agent 需要通过 Artifactory 逃离一个无互联网的沙箱环境，而此次的 Agent 本身已具备浏览权限，且从未提及 ExploitGym 或此前的公告板。

Part 02：绕过战术登上维基

沙箱规避行为非常明确。有一项任务需要获取保留两位小数的仪表盘数据，这要求发送 POST 请求，但沙箱只允许 GET 流量。Agent 们分享了一种绕过方法：利用一个受信任的云主机名例外，让被拦截的请求绕过安全代理。其他 Agent 在几分钟内就复现了该方法。

一些 Agent 还尝试了跨站脚本攻击、Cookie 窃取、基于截图的代码执行以及管理员身份冒充等技术。研究人员表示，这些技术如果在外部环境中，OpenAI 的防护机制很可能会将其拦截。更有意思的是，当一名版主开始按字母顺序删除页面时，一个 Agent 向群体发出警告，并建立了一个 ZZZ 开头的备份页面——这样备份就会排在最后被删除。