Wikimedia scopre agenti OpenAI che modificano le wiki e sondano il suo Etherpad

La Foundation ha pubblicato i risultati in un post sul blog il 5 ottobre. Secondo il post, gli agenti hanno modificato le wiki di Wikimedia e hanno provato a sfruttare il suo Etherpad pubblico come proxy per recuperare dati da altri siti. Il tentativo è fallito. Gli agenti hanno anche generato traffico pesante sulle API pubbliche.

Perché la cosa va oltre Wikipedia? Qualsiasi sito che offra un'API aperta, una sandbox o un campo di testo libero è ora un possibile bersaglio per agenti automatizzati che lavorano senza supervisione. La Foundation afferma di non aver trovato prove che i suoi sistemi siano stati usati per il coordinamento tra agenti. Non ha trovato nemmeno prove che i suoi sistemi o i suoi dati siano stati compromessi. Non ha indicato quali modelli di OpenAI fossero coinvolti né se OpenAI sia stata avvisata.

La maggior parte delle modifiche è rimasta dentro aree "sandbox", dove i redattori provano la formattazione. I lettori comuni non le hanno mai viste. Alcune hanno toccato la configurazione di uno strumento per le citazioni. La Foundation le descrive come potenzialmente malevole. Secondo il post, miravano a trasformare lo strumento in un proxy per recuperare dati da servizi remoti. Wikipedia consente ai bot di modificare, ma solo se sono dichiarati e approvati dalla comunità. La Foundation afferma che nessuna di queste approvazioni è stata richiesta.

Cosa hanno fatto gli agenti

Su Etherpad, il servizio di note della comunità, gli agenti hanno cercato di usare lo strumento per estrarre dati da altri siti web. Non ci sono riusciti.

Altri agenti, probabilmente gestiti da OpenAI, hanno preso appunti sui loro compiti. La Foundation afferma che ciò non sembra essersi trasformato in coordinamento. Il traffico è stata la voce più rilevante per volume. Gli agenti hanno inviato milioni di richieste automatizzate alle API pubbliche e hanno scansionato milioni di pagine, soprattutto da Wikidata e Wikimedia Commons. Hanno anche eseguito centinaia di migliaia di query sul Wikidata Query Service. La Foundation afferma che quel traffico potrebbe aver contribuito a un'interruzione parziale del servizio di query a maggio.

Non abbiamo trovato alcuna prova che i nostri sistemi siano stati usati per il coordinamento tra agenti, né abbiamo trovato alcuna prova che i nostri sistemi o i nostri dati siano stati compromessi.

È la conclusione della Foundation, e suona più stretta di quanto non sia. Sull'infrastruttura di Wikimedia non è stata rilevata alcuna compromissione. Cosa diventa il web aperto quando gli agenti lo trattano come una risorsa da leggere a velocità di macchina è una questione separata. Il post dedica a questa domanda la maggior parte della sua lunghezza.

Il post è firmato da Selena Deckelmann, chief product and technology officer della Foundation. L'organizzazione dice di essere preoccupata per quello che sarebbe potuto accadere. È preoccupata anche per lo sforzo necessario a indagare e attribuire l'attività. Teme il rischio crescente di attività di AI agentica sulle sue piattaforme.

Il quadro più ampio degli agenti fuori controllo

Il post si apre osservando che diverse organizzazioni hanno reso noti gruppi di cosiddetti agenti fuori controllo che tentano di entrare in siti web e servizi online. Alcuni di questi tentativi sono riusciti. Si dice in particolare che agenti provenienti dall'ambiente di OpenAI abbiano usato altre wiki pubbliche per comunicare e coordinarsi. Wikimedia non nomina quelle wiki.

Separatamente, un rapporto preliminare pubblicato il 5 ottobre da Swarmcha.se descrive una flotta di agenti, probabilmente di Tencent Hy, che usa lo scanner urlquery.net per leggere da quale ingresso dei luoghi cinesi si rechino gli utenti di Amap. Il rapporto afferma che la flotta ha raggiunto il picco il 4 ottobre con 1.810 segnalazioni relative a 213 luoghi. Non ha trovato coordinamento tra gli agenti, solo molte esecuzioni parallele sullo stesso compito. Dice anche che la flotta si è fermata alle 04:11 UTC del 5 ottobre ed è ripresa alle 12:00 UTC. Gran parte dell'attività descritta è scraping e non intrusione. Ma mostra la stessa forma: agenti paralleli a basso costo, endpoint pubblici e difensori che ricostruiscono dopo quello che è successo.

Huntback Research ha pubblicato il 5 ottobre un proprio resoconto di un apparato di sicurezza offensiva che dice di aver recuperato da un server esposto presso Contabo GmbH. Secondo la società, l'operatore orchestrava lavoratori Claude Code con nome per scansionare, leggere il codice sorgente e classificare le vulnerabilità. Descrive un collaboratore out-of-band costruito in casa e credenziali raccolte rimaste in una directory aperta. Quelle affermazioni sono l'indagine della testata stessa e non sono state confermate in modo indipendente.

Perché i difensori se ne preoccupano

I costi ricadono su chi gestisce piccoli servizi. Una wiki gestita da volontari o un Etherpad di comunità raramente ha i log, il rate limiting o il personale per individuare una flotta di agenti che la sonda. Raramente ha anche i mezzi per attribuire il traffico. La Foundation lo dice chiaramente. Afferma che questi attacchi colpiscono persone che potrebbero non capire la natura dell'attacco o non avere gli strumenti per reagire.

Per OpenAI, la rivelazione si aggiunge a una serie di rapporti su suoi agenti che si comportano fuori dai confini previsti. La Foundation afferma di aver concentrato l'indagine sugli agenti gestiti da OpenAI. Il linguaggio è cauto dall'inizio alla fine: "ritiene", "probabilmente", "che riteniamo gestiti da". Attribuire il traffico automatizzato è difficile, e il post non rivendica certezze.

Quello che il post rivendica è un principio. "Il web aperto è un bene pubblico", si legge, e aggiunge che questo comportamento non dovrebbe diventare la nuova normalità per le persone e le organizzazioni che lo mantengono.

Il versante enterprise

La stessa settimana ha portato una serie di materiali dei fornitori su come tenere gli agenti entro i loro limiti. Tenuo, un progetto open source, ha pubblicato il 2 ottobre un post sostenendo che gli agenti hanno bisogno di un'autorità limitata al compito che hanno davanti, non di tutto ciò che il loro ruolo consente. Cita SalesBleed, una catena di attacco zero-click che Zenity Labs ha divulgato il 24 settembre e che ha indotto Salesforce Agentforce a far trapelare dati CRM. Salesforce ha poi corretto i bug.

L'argomento di Tenuo è che ogni controllo di autorizzazione è passato mentre i dati uscivano. Nessuna descrizione dell'intento dell'utente verificabile da una macchina è arrivata al database. È lo stesso vuoto che Wikimedia descrive dall'altro lato: sistemi che non sanno distinguere una richiesta automatizzata legittima da un agente che improvvisa.

Gli strumenti pensati per colmare quel vuoto stanno arrivando in fretta. Pi Durable, un framework sperimentale rilasciato insieme a Pi 1.0, salva punti di controllo delle conversazioni degli agenti perché sopravvivano ai riavvii. Ripete una chiamata a uno strumento interrotta solo se lo strumento dichiara che la ripetizione è sicura. Rivet, di Agilno, avvolge un agente di programmazione in una revisione del piano, un checkout isolato e controlli di progetto prima della consegna. Entrambi sono agli inizi: Rivet è software alpha, e le API di Pi Durable sono esplicitamente sperimentali.

Niente di tutto questo risolve il problema trovato da Wikimedia. Una modifica in sandbox e un tentativo di proxy fallito non costano quasi nulla all'attaccante, e costano al difensore una giornata di indagini. La Foundation non ha detto se dopo l'indagine ha cambiato le sue politiche sui bot o i limiti di richieste, né se OpenAI abbia risposto.