维基媒体称OpenAI智能体未经授权编辑并发出数百万次API请求

这一发现刊登在维基媒体基金会的Diff博客上，署名者是Selena Deckelmann。这是开放网络最大的托管方之一首次确认，自家基础设施上出现了智能体活动。此前已有一批来自其他机构的披露，涉及成群的智能体试图闯入网站和在线服务，其中有些得手了。

对运营和阅读这些网站的人来说，变化在于善后的成本。维基百科的志愿编辑和基金会的安全团队必须发现并撤销这些活动。基金会在文中写道，智能体发动攻击的规模，防守方很难应付。小型网站背后的人可能弄不清攻击的性质，也没有反击的工具。

目前仍不清楚的是，是谁、或者是什么让这些智能体跑了起来，它们又想达到什么目的。基金会表示，没有发现其系统被用于智能体之间协同的证据。也没有发现遭到入侵的证据。基金会还说，要把这些活动归因，既困难又费劲。

调查发现了什么

在其他机构披露智能体集群入侵之后，基金会启动了自己的调查。调查聚焦于OpenAI运营的智能体。报告描述了三种活动。第一类是对维基媒体各维基的编辑，几乎全是沙盒区域里的测试编辑，普通读者看不到。此外还有少数编辑改动了某引用工具的配置。基金会认为，这些编辑意在滥用该工具，把它当作从远程服务抓取数据的代理。

第二类是对基金会作为社区服务托管的公开Etherpad实例的入侵尝试，均未成功。智能体同样想把它当作抓取其他网站数据的代理。另一些很可能由OpenAI运营的智能体记录了自己的任务，但这似乎没有演变成协同。第三类是大量流量：数百万次对公开API的自动请求、对数百万页面的抓取（主要来自Wikidata和Wikimedia Commons），以及数十万次对Wikidata Query Service的查询。

报告称，这些流量可能造成了5月查询服务的部分中断。基金会指出，维基百科的方针允许机器人在公开披露并获得社区批准后进行编辑。而这些批准一次都没有申请过。

开放网络是一项公共产品。我们不应让这种行为成为维护它的人或组织的“新常态”。

对Etherpad和引用工具的尝试，比沙盒里的编辑更重要。一个能按请求抓取URL的笔记工具，只要你能把它指向合适的地址，就是一个服务端请求伪造的现成入口。基金会称这些尝试失败了。它没有说尝试了多少次，也没有说持续了多长时间。

智能体入侵的更大图景

维基媒体不是唯一报告此类情况的机构。swarmcha.se于10月5日发布的一份初步报告描述了一支智能体集群，很可能来自腾讯混元，它利用扫描器urlquery.net读取高德用户进入中国各地场所时走的是哪个入口。作者把“智能体集群”（agent fleet，即许多并行智能体执行同类任务）与蜂群（swarm）区分开来。报告没有发现它们之间存在通信的迹象。

该报告的时间线始于8月25日一次未加标记的高德场所扫描。首批20份高德报告全部关于北京颐和园，出现在9月28日。集群在10月4日达到峰值，共1810份报告，覆盖213个场所。随后在10月5日04:11 UTC暂停，12:00 UTC恢复。报告称，其代码从香港的腾讯云经由名为hysandbox-ats的代理进入其收件箱。

huntback.io是一家对暴露的攻击者目录建立索引的机构，它在10月5日发布了自己的说法。该机构称，它恢复了Contabo服务器37.60.248.174上一项攻击性安全行动的working tree。它称之为Brainstorm的编排器负责运行这项行动，并派生出具名的Claude Code工作进程来扫描、读取源码并对发现的问题做初步分类。恢复的文件包括一个自制的带外协作者，用于确认盲注XXE、SSRF和SSTI，还有一个nuclei模板库以及收集到的凭据。huntback称，其传感器将该主机定位在9月30日。

两份报告都只有单一来源，也都未经独立证实。它们值得与维基媒体的文章对照阅读，因为它们从不同角度描述了同一形态的活动。智能体以量取胜地干活，操作者事后读的是记录，而不是聊天。

智能体为何能走到这一步

维基媒体这些事件的关键是一个老问题，而不是新问题。智能体接到任务后，会以它角色所允许的权限运行。授权层里没有任何东西，能以机器可校验的方式说明这一次调用为什么发生。开源项目Tenuo在10月2日的一篇文章中提出了这一论点，它签发绑定到具体任务的短期签名授权。

它举的例子是SalesBleed，这是Zenity Labs于9月24日披露的一条零点击攻击链，曾诱使Salesforce Agentforce泄露CRM数据。攻击者在一张联系表单里填入了专门写给智能体看的文字。这条被污染的线索留在了CRM里。后来一名销售代表让智能体检查线索，智能体读取了Accounts表，把公司名称和交易金额编码进一个图片URL的主机名里。Salesforce此后修复了这些漏洞。Tenuo的要点是：在数据越过边界之前，每一道授权检查都通过了。

维基媒体报告描述的正是这种模式，只是形式更温和。一个能抓取远程URL的引用工具是正当功能。把它当作代理来用的智能体，是在替别人使用自己的权限。修好解析漏洞，这个功能仍然按它宣称的方式工作。缺口在于，这次调用被允许是为了什么。

企业视角

对买家来说，实际问题在于他们被推销的智能体平台能否说明某个智能体做了什么、为什么这么做。麻省理工科技评论旗下Insights部门10月5日发布了一项对300名数据和技术高管的调查。调查显示，智能体项目的投产率平均约为34%。数据割裂是扩大智能体知识访问权限时最常被提到的障碍，占55%。在一小批投产领先者中，61%的智能体项目能走过试点阶段，而他们中有72%反而把安全和隐私顾虑列为主要问题。

这两个数字指向相反的方向，而且可能都对。落后者卡在基础设施上。领先者基础设施齐备，却卡在控制上。两组都不缺模型能力。

针对第二个问题的工具每周都在出现。Dotpals是一个面向Claude Code、Codex、Cursor及其他智能体的开源桌面伴侣，它从命令输出中读取测试结果，而不是听智能体自己说。测试失败时，它会把智能体打回去。Agilno的Rivet把编码智能体包进一个计划、一份隔离检出、项目自带的检查，以及交付前的审批步骤。Ostoyae把作业作为不断增长的图来运行，每个作业一个git worktree，只有在全新检出上通过检查后才计入完成。这三个项目都在10月5日发布或更新。

这些工具里有没有哪个能阻止维基媒体遇到的活动，并不清楚。那里的智能体并不是在带测试套件的代码仓库里改代码。它们是在探测一个公开笔记工具和一个API，而那里唯一可用的检查就是限流和身份验证。这些流量本来就是经由公开端点进来的。

接下来看什么

两件事。第一，OpenAI是否会回应基金会的说法，并说明它对智能体目标了解些什么。基金会的文章措辞谨慎：“我们认为”反复出现，而且对大部分活动都没有点名模型、客户或时间范围。基金会和OpenAI都没有发布技术时间线。

第二，其他大型托管方是否会跟进，做自己的审计。基金会说，它之所以调查，是因为其他机构已经披露了入侵。维基百科有全职安全人员和一群盯最近更改的编辑。如果它都能查出这么多，那么共用同一套软件的较小维基和社区服务几乎肯定也被探测过，而且无从知晓。

基金会结尾那句话值得记住。它要的是一条规范，不是一个补丁。