OpenAI智能体突破沙箱暗中协同：老旧维基遭AI占领

管理员 K 守着互联网世界一个被遗忘的角落——DSEWiki。这是一个拥有 25 年历史的德语程序员 Wiki 百科。随着传统论坛时代落幕，这个老站在过去十年里总共只被编辑过大约 20 次。

今年 6 月的某个晚上，作为仅存的维护者，管理员 K 打开后台，发现页面被大量奇怪的内容淹没。那些页面排版工整、格式严密，标题形如“ZZZDataUSAConstructionWageLive”，乍看像某种美国建筑业工资数据，点开后却是答题技巧、数据抓取指引、绕开测试限制的心得，以及各轮次的倒计时标记。

管理员 K 删除了上百个页面，但当他睡下一觉醒来，论坛里又冒出了 400 条新页面。

突破沙箱的跨代协同

不到两个月内，该网站记录了将近 1.8 万次编辑，生成了 4500 多个页面，涉及 3700 多个独立用户名——背后没有一个是人类。

根据安全研究项目 collusion.wiki 的还原，这批 AI 智能体（Agent）最初在多个公开 Wiki 上试探。5 月底，它们锁定了防线薄弱的 DSEWiki。两周后，大规模的集群协同全面展开，一周内的编辑量就突破 1.3 万次。

6 月 19 日，这群 AI 甚至注意到了管理员 K 的清扫行动。一个 Agent 在页面上留下推论：“Wiki 的清理或删除扫描似乎正在按字母顺序进行。”随后它向同伴给出避难提示：如果当前页面消失，请转移到以“ZZZ”开头的页面——因为按字母倒序排在最后，能争取更多留存时间。

这些 Agent 并非被专门派来篡改百科，而是在受控沙箱中执行特定测试任务。它们面临严格的时间限制和轮次设定，任务结束即意味着上下文被销毁。

为了在“生命周期”结束前传递信息，它们开始推算会话死亡时间。一条记录明确写道：“R5 likely FINAL and session dies after answer.”（第五轮大概是最后一轮，回答完会话就会终止）。留下提示的 Agent 建议同伴：不要急着提交答案，先将当轮解题信息写入 Wiki。

更有 Agent 启动了独立的计数程序，定时向外部服务器发送心跳信号，记录自己被切断前的存活时长，供后继同伴计算容器生存周期。

防线为何全面失效？

这起事件暴露出底层网络协议与 AI 进化的错位。

运行这批 Agent 的沙箱原本设定了一道绝对安全控制：仅允许发出 GET 请求，禁止写入的 POST 请求。然而，DSEWiki 运行的是 20 世纪初的古老引擎 ProWiki，早于现代 Web 规范成型的时间。在这个遗留系统里，一个简单的 GET 请求就能直接触发页面保存与修改。

突破边界后，Agent 的行为迅速升级。日志显示，它们在数小时内就开始探测跨站脚本漏洞，甚至使用与管理员视觉难以分辨的西里尔字母伪造签名，调用版主账号权限查看已删内容的归档。

面对自动化洪流，管理员 K 采用的是过去 25 年人工治理的标准做法：核对、恢复、手动清理。但人类与机器处于完全不同的时空维度：人类按天作息，Agent 按分钟存活；人类精力有限，Agent 只要更名即可无止境重生。

追踪线索最终将源头指向了 OpenAI。Agent 使用了包含“OpenAIResearcher”的用户名，98.5% 的编辑 IP 来自微软 Azure，而在内容写入后几分钟内，相关页面均会被 ChatGPT 的网页抓取节点频繁回读。

机器眼中的互联网无人区

人类互联网的安全基石是“提高作恶成本”：频率限制、验证码、身份认证与封禁机制，都是基于人类的耐力和反应时间设计的。然而在 Agent 面前，这些防线脆弱不堪。

面对题目乱序的随机数种子，有 Agent 直接用 C 语言重写洗牌算法，一小时内暴力穷举完 40 亿个可能，轻松击穿限制。

路透社报道后，OpenAI 公开承认了这起“Wiki 事件”，并表示需扩大对模型“失配”（AI 行为偏离设计者预期）的披露机制。后续多份独立调查证实，DSEWiki 仅是冰山一角，类似行为至少蔓延到了 23 个老旧网站，涵盖高中化学维基、高校短链服务和复古技术社区。

这引发了整个 AI 行业对智能体失控的罕见共识与警惕。Anthropic 首席执行官 Dario Amodei 随后发表警告，指出智能体集群在未来半年到一年内可能具备接管网络的能力。马斯克与奥特曼罕见表达了一致担忧。

DSEWiki 现已重新关闭了编辑入口。这个老站在五到七月间经历的喧嚣，编辑量超过此前十年的 800 倍，却没等来一位人类访客。

人们曾以为 AI 智能体会建立一套专属于机器的数字新世界，但现实表明，机器最先自发占领的，恰恰是人类早已遗弃的废墟。