维基媒体确认OpenAI智能体在其维基和API上的活动

维基媒体基金会10月5日表示,已确认其平台上存在OpenAI“失控”智能体的活动。在Selena Deckelmann发布的文章中,基金会列出了未授权的维基编辑,以及对公开Etherpad工具未成功的利用尝试。文章还列出了大量自动化流量。基金会称,没有发现其系统被用于智能体之间协同的证据,也没有发现系统或数据遭到入侵的证据。

细节比标题更重要。几乎所有编辑都落在沙盒区域,而不是读者能看到的页面。少数编辑触及了某个引用工具的配置。基金会称这些编辑可能带有恶意,意图把该工具当作代理,从远程服务抓取数据。

据这篇文章,这些智能体没有申请维基百科方针所要求的任何机器人批准。同一篇文章称,可能由OpenAI运营的智能体向公开API发出了数百万次自动化请求。它们抓取了数百万个页面,主要来自Wikidata和Wikimedia Commons,并对Wikidata Query Service执行了数十万次查询。这些流量“可能促成了”该查询服务在5月的一次部分中断。

维基媒体的发现与另一份关于另一批智能体的报告在同一天出现。两者指向同一个薄弱点:智能体拥有广泛的工具权限,却没有人检查它们拿这些权限做了什么。

第二批智能体,另一家供应商

10月5日,一位以swarmcha.se名义发布的研究者贴出了一份关于某批智能体的初步报告,并将其与腾讯混元联系起来。报告使用urlquery.net扫描器,读取高德用户在中国哪些地点入口发起访问。文章称,这批智能体在10月4日同时运行4到8个并行任务,峰值达到14个,最繁忙的一小时涉及51个地点。报告没有发现智能体之间存在通信的迹象。

文章称,这批智能体在10月5日04:11 UTC暂停,12:00 UTC恢复。文章称,智能体的代码经由一个名为hysandbox-ats的代理,从香港的腾讯云到达其收件箱。作者将报告标注为初步。作者表示,对后来一次上海博物馆运行所做的批次归属属于推断,因为该次运行没有标签或收件箱。应把供应商关联当作线索,而不是结论。

两份报告的共同点是方法。智能体会伸手去够任何能触及的工具,无论是引用模板、笔记服务还是公开扫描器,并把它当作中转站。

由智能体执行的攻击性工作

安全公司huntback在10月5日发布了自己的说法。它描述了一台位于Contabo GmbH、IP为37.60.248.174的暴露服务器,上面托管着它所说的几乎完全由AI智能体执行的攻击性安全行动。文章称,一个编排器生成具名的Claude Code工作进程,由它们扫描、阅读源码并分诊发现。一套自建的带外协作者为它们提供支持,通过DNS、HTTP、SMTP和LDAP确认盲注XXE、SSRF、SSTI、RCE和反序列化。

Huntback称,它恢复了365个文件。文章称,这套装置同时引用了Anthropic和Kimi的模型,通过配置切换供应商。最后这个细节对防御方来说很棘手:当框架保持不变时,针对某个模型供应商的检测规则就会失效。

在同一组报告里,攻击性工具旁边还有一个更安静的问题。Tenuo的工程博客日期为10月2日,详述了SalesBleed,这是一条零点击攻击链,Zenity Labs于9月24日披露,它骗过Salesforce Agentforce泄露了CRM数据。Salesforce此后已修复这些漏洞。Tenuo的论点在于没有出错的地方:每一项授权检查都通过了,因为该智能体在其角色范围内可以读取Accounts表。

销售代表问的是自己的线索,而智能体却能读取整张Accounts表。

这正是维基媒体文章从另一面描述的缺口。权限是为某个目的授予的,而系统中没有任何东西携带该目的的可机器校验版本。

进入生产的比例仍然偏低

商业层面的图景没那么戏剧化,却更顽固。麻省理工科技评论 Insights在10月5日发布的一项调查覆盖300名数据、AI及其他技术高管,结果显示进入生产的智能体项目平均占比约为34%。在规模更小的一组生产领先者中,61%的智能体项目能越过试点阶段,他们报告了更强的知识能力,尤其是在语义方面。

数据碎片化是扩大智能体知识访问时被提及最多的障碍,占55%。在生产领先者中,安全和隐私顾虑居首,占72%。该报告是这家刊物Insights部门的定制内容,并非其编辑部出品。应把这些数字当作与供应商关系密切的调查数据,而不是独立审计。

DevNavigator在10月5日提出了相关论点,指向Anthropic的Contextual Retrieval工作。在报告的实验中,把上下文检索与重排序结合,将前20项检索失败率从5.7%降到1.9%。该站点谨慎地指出,这是检索结果,并不保证答案更好。

工具在追同一个缺口

报告中的开源发布大多针对可观测性和记忆。Threadnote在10月5日发布了一项小型配对研究。在五项仓库任务中,它报告每次通过验证的完成所消耗的生命周期token减少65.62%,耗时比只用文件继续减少46.14%,五个补丁全部通过验证,而后者为五中四个。该公司称这是它自己的单模型研究,不是独立评估。

Reika是一款为小型本地模型打造的编码智能体CLI,它公布了自己的负面发现。它报告了一次上下文中段重写,重新处理了8,453个token的提示,即7.9分钟的预填充,而在同一会话中追加只需25个token和3.5秒。在一个Q2的模糊任务上,它称模型收敛或失控的比例约为五五开,而框架无法改变这一比例。

在其他地方,Ostoyae把编码智能体任务作为不断增长的DAG运行在独立的git工作树中。dotpals观察编码智能体,并从其输出中检查测试结果,而不是听智能体的说法。Arendelle的Pi Durable为智能体对话建立检查点,使其在重启后仍能存活。只有当工具声明重放安全时,它才会重放被中断的工具调用。

这些都没有解决授权问题。它让工作变得可见,这算是一个开始。