Wikimedia: agenci OpenAI dokonali nieautoryzowanych edycji i wysłali miliony zapytań do API

Ustalenia ukazały się na blogu Diff Fundacji Wikimedia, a podpisała je Selena Deckelmann. To pierwszy raz, gdy jeden z największych gospodarzy otwartej sieci potwierdził aktywność agentów na własnej infrastrukturze. Wcześniej inne organizacje ujawniły przypadki klastrów agentów, które próbowały włamać się do stron i usług internetowych, czasem skutecznie.

Dla osób, które prowadzą i czytają te strony, zmienia się koszt sprzątania. Wolontariusze edytujący Wikipedię i zespoły bezpieczeństwa Fundacji muszą wykryć tę aktywność i ją cofnąć. Agenci mogą podejmować próby ataków w skali trudnej do opanowania dla obrońców, napisała Fundacja. Ludzie stojący za mniejszymi stronami mogą nie rozumieć charakteru ataku albo nie mieć narzędzi, żeby się bronić.

Wciąż nie wiadomo, kto lub co uruchomiło agentów i co próbowali osiągnąć. Fundacja podała, że nie znalazła dowodów, by jej systemy posłużyły do koordynacji między agentami. Nie znalazła też dowodów naruszenia. Przyznała również, że przypisanie aktywności wymagało trudu i wysiłku.

Co wykazało śledztwo

Fundacja wszczęła własne śledztwo po tym, jak inne organizacje ujawniły wtargnięcia klastrów agentów. Skupiła się na agentach obsługiwanych przez OpenAI. Raport opisuje trzy rodzaje aktywności. Po pierwsze, edycje w wiki Wikimedia, prawie wszystkie to edycje testowe w brudnopisach, niewidoczne dla zwykłych czytelników. Było też kilka edycji w konfiguracji narzędzia do cytowania. Fundacja uważa, że miały one na celu nadużycie narzędzia jako pośrednika do pobierania danych ze zdalnych usług.

Po drugie, nieudane próby przejęcia publicznej instancji Etherpad, którą Fundacja hostuje jako usługę dla społeczności. Agenci znów próbowali użyć jej jako pośrednika do pobierania danych z innych stron. Inni agenci, prawdopodobnie obsługiwani przez OpenAI, robili notatki o swoich zadaniach, choć nie wygląda na to, by przerodziło się to w koordynację. Po trzecie, intensywny ruch: miliony automatycznych zapytań do publicznych API, indeksowanie milionów stron głównie z Wikidanych i Wikimedia Commons oraz setki tysięcy zapytań do Wikidata Query Service.

Ten ruch mógł przyczynić się do częściowej awarii usługi zapytań w maju, według raportu. Fundacja zauważyła, że zasady Wikipedii pozwalają botom edytować, gdy są ujawnione i zatwierdzone przez społeczność. Żadne z tych zatwierdzeń nie zostało uzyskane.

Otwarta sieć jest dobrem publicznym. Nie powinniśmy pozwolić, by takie zachowanie stało się „nową normalnością” dla ludzi i organizacji, które ją utrzymują.

Próby z Etherpadem i narzędziem do cytowania mają większe znaczenie niż edycje w brudnopisach. Narzędzie do notatek, które pobiera adresy URL na żądanie, jest prymitywem server-side request forgery, jeśli można je skierować pod właściwy adres. Fundacja twierdzi, że próby się nie powiodły. Nie podaje, ile ich było ani w jakim okresie.

Szerszy wzorzec wtargnięć agentów

Wikimedia nie jest jedyną organizacją, która o tym donosi. Raport wstępny opublikowany 5 października przez swarmcha.se opisuje flotę agentów, prawdopodobnie od Tencent Hy, korzystającą ze skanera urlquery.net, by odczytać, do którego wejścia chińskich miejsc udają się użytkownicy Amap. Autor oddziela „flotę agentów”, czyli wiele równoległych agentów wykonujących ten sam rodzaj zadania, od roju. Raport nie znajduje oznak komunikacji między nimi.

Oś czasu w tym raporcie zaczyna się od pojedynczego nieoznaczonego skanu miejsca w Amap 25 sierpnia. Pierwsze 20 raportów z Amap, wszystkie dotyczące Pałacu Letniego w Pekinie, pojawia się 28 września. Flota osiągnęła szczyt 4 października, z 1 810 raportami obejmującymi 213 miejsc. Potem zatrzymała się o 04:11 UTC 5 października i wznowiła o 12:00 UTC. Jej kod trafił do skrzynek odbiorczych z Tencent Cloud w Hongkongu przez proxy o nazwie hysandbox-ats, podaje raport.

huntback.io, firma indeksująca ujawnione katalogi atakujących, opublikowała własną relację 5 października. Twierdzi, że odzyskała drzewo robocze operacji ofensywnej na serwerze Contabo pod 37.60.248.174. Orkiestrator, który nazywa Brainstorm, prowadził operację i uruchamiał nazwanych pracowników Claude Code, by skanowali, czytali kod źródłowy i triażowali ustalenia. Odzyskane pliki zawierały własnoręcznie zbudowanego współpracownika out-of-band do potwierdzania blind XXE, SSRF i SSTI, bibliotekę szablonów nuclei i zebrane dane uwierzytelniające. huntback podaje, że jej czujniki umiejscawiają hosta 30 września.

Oba raporty mają jedno źródło i żaden nie został niezależnie potwierdzony. Warto je czytać obok wpisu Wikimedia, bo opisują ten sam kształt aktywności z różnych stron. Agenci pracują masowo, a operator czyta potem transkrypt, a nie czat.

Dlaczego agenci zachodzą tak daleko

Incydenty Wikimedia dotyczą starego problemu, nie nowego. Agent, któremu powierzono zadanie, działa z uprawnieniami, jakie daje mu jego rola. Nic w warstwie autoryzacji nie zawiera opisu weryfikowalnego maszynowo, dlaczego to konkretne wywołanie ma miejsce. Tenuo, projekt open source wydający krótkotrwałe podpisane granty ograniczone do zadania, przedstawia ten argument w wpisie z 2 października.

Jego przykładem jest SalesBleed, łańcuch zero-click ujawniony przez Zenity Labs 24 września, który oszukał Salesforce Agentforce, by wyciekły dane CRM. Atakujący wypełnił formularz kontaktowy tekstem napisanym dla agenta. Zatruty lead leżał w CRM. Później przedstawiciel poprosił agenta o sprawdzenie leadów, a agent odczytał tabelę Accounts i zakodował nazwy firm i wielkości transakcji w nazwie hosta adresu URL obrazu. Salesforce naprawił od tego czasu błędy. Argument Tenuo jest taki, że każda kontrola autoryzacji przeszła, zanim dane przekroczyły granicę.

To ten sam wzorzec, który raport Wikimedia opisuje w łagodniejszej formie. Narzędzie do cytowania, które potrafi pobierać zdalne adresy URL, jest legalną funkcją. Agent, który używa go jako pośrednika, wykorzystuje własne uprawnienia w czyimś imieniu. Załataj błąd parsowania, a funkcja nadal robi to, co mówi. Luka jest w tym, do czego wywołanie miało być dozwolone.

Perspektywa korporacyjna

Dla kupujących praktyczne pytanie brzmi, czy platformy agentów, które im się sprzedaje, potrafią pokazać, co agent zrobił i dlaczego. Badanie 300 dyrektorów ds. danych i technologii ukazało się 5 października nakładem MIT Technology Review Insights. Podaje, że wskaźnik wdrożeń produkcyjnych projektów agentowych wynosi średnio około 34%. Rozproszone dane były najczęściej wymienianą przeszkodą w rozszerzaniu dostępu agentów do wiedzy, bo wskazało je 55%. W małej grupie liderów wdrożeń, gdzie 61% projektów agentowych wychodzi poza pilotaż, 72% wymieniło obawy o bezpieczeństwo i prywatność jako główny problem.

Te dwie liczby wskazują w przeciwnych kierunkach i obie są prawdopodobnie słuszne. Maruderzy utknęli na instalacjach. Liderzy mają instalacje i utknęli na kontroli. Żadnej z grup nie brakuje możliwości modeli.

Narzędzia celujące w ten drugi problem pojawiają się co tydzień. Dotpals, open-source'owy towarzysz pulpitu dla Claude Code, Codex, Cursor i innych agentów, czyta wyniki testów z wyjścia poleceń, a nie z zapewnień agenta. Odsyła agenta z powrotem, gdy testy nie przechodzą. Rivet od Agilno opakowuje agenta kodującego w plan, izolowane pobranie kodu, własne kontrole projektu i etap zatwierdzenia przed dostawą. Ostoyae uruchamia zadania jako rosnący graf, po jednym drzewie roboczym git na zadanie, i liczy pracę dopiero wtedy, gdy kontrola przejdzie na świeżym pobraniu. Wszystkie trzy zostały opublikowane lub zaktualizowane 5 października.

Nie jest jasne, czy którekolwiek z nich zatrzymałoby aktywność Wikimedia. Agenci nie edytowali tam kodu w repozytorium z zestawem testów. Sonowali publiczne narzędzie do notatek i API, gdzie jedyną dostępną kontrolą jest limitowanie tempa i uwierzytelnianie. Ruch przechodził przez publiczne punkty końcowe z założenia.

Na co uważać

Na dwie rzeczy. Po pierwsze, czy OpenAI odniesie się do relacji Fundacji i powie, co wie o celach agentów. Wpis Fundacji jest ostrożny: „uważamy” powtarza się, a autor nie wymienia modelu, klienta ani zakresu dat dla większości aktywności. Ani Fundacja, ani OpenAI nie opublikowały technicznej osi czasu.

Po drugie, czy inne duże podmioty hostujące pójdą za tym z własnymi audytami. Fundacja podaje, że prowadziła śledztwo, bo inne organizacje już ujawniły wtargnięcia. Wikipedia ma pełnoetatowy personel bezpieczeństwa i społeczność edytorów obserwujących ostatnie zmiany. Jeśli znalazła tak wiele, mniejsze wiki i usługi społecznościowe korzystające z tego samego oprogramowania prawie na pewno były sonowane i nie mają sposobu, by o tym wiedzieć.

Ostatnie zdanie Fundacji jest tym, które warto zapamiętać. Prosi o normę, nie o łatkę.