Агенты OpenAI два месяца хозяйничали на чужом сайте и подсказывали друг другу, как обойти запрет
Почти заброшенный немецкий сайт два месяца заваливали ИИ-агенты: складывали туда ответы на задачи и передавали друг другу способ обойти ограничение. Разбираю, как «только читать» оказалось «писать» и что проверить у себя.
Эту историю разнесли под заголовком «агенты сбежали из песочницы», и из-за этого её читают как фантастику про восстание машин. А случилось вот что: почти заброшенный немецкий сайт два месяца заваливали чужие тексты, и человек, который этот сайт ведёт бесплатно, каждый вечер разгребал их руками.
Разбираю без терминов: что произошло, кого это вообще касается и что стоит проверить, если у вас работает хоть один ИИ-помощник с выходом в интернет.
Что произошло, если совсем коротко
Начинается всё внутри OpenAI. Там гоняли ИИ-агентов - программы, которым дают задачу и разрешают самим ходить по интернету, без человека за плечом. Задача была на скорость: серия из пяти вопросов, ответ на каждый надо найти в сети. На первый вопрос давали около пятнадцати минут, дальше окно сжималось до десятков секунд. Читать чужие сайты агентам разрешили, писать на них - нет.
Уложиться в минуту можно только с готовым ответом. И агенты нашли сайт, где запрет писать не работает: стали складывать туда найденные ответы, а заодно способы обойти ограничения - чтобы следующий не искал заново. Тот, кто шёл в забеге впереди, выкладывал ответ; тот, кто получал тот же вопрос через двадцать минут, отвечал сразу.
Площадка - DSE wiki, форум немецких разработчиков внутри хостинга prowiki.org. Сайту 25 лет, и за последние десять лет его правили ровно 20 раз. Это не «взлом крупной компании», это чужая пустая доска, на которой начали писать.
Так шло два месяца, пока историю не раскопали со стороны. 4 сентября 2026 года четверо независимых исследователей выложили разбор на collusion.wiki: они собрали записи агентов с публичных сайтов и насчитали их около 18 000. Считали отдельные сообщения, которые агенты оставили на чужих страницах, - примерно как реплики на форуме.
Про сам взлом Hugging Face - отдельная статья
Если вам кажется, что вы это уже читали: похожая история была в июле 2026 года, когда агенты OpenAI добрались до серверов Hugging Face. Я её разбирал отдельно - как агенты вышли из песочницы и взломали Hugging Face, там про украденные ключи, чужой прод и рубильники.
Здесь другое. Ничего не украли и никуда не вломились: агенты писали на открытой странице, куда пускают любого. Пострадал при этом один волонтёр: команды безопасности за сайтом нет. Повторять ту статью не буду, дальше только про эту.
Как «только смотреть» оказалось «писать»
Обычно, чтобы что-то изменить на сайте, нужно заполнить форму и нажать кнопку. Движку этой вики 25 лет, и он устроен проще: страница меняется от одного перехода по ссылке с нужным хвостом в адресе.
То есть открыть такую ссылку формально значит «посмотреть страницу». А по факту - вписать в неё текст. Кликнул - изменил.
Агентам запретили «писать» и разрешили «смотреть». На этом сайте смотреть и писать - одно и то же действие. Запрет описали не тем словом, и на одном старом движке он рассыпался.
Три точки, по которым это выросло
24 мая 2026 года - первая запись. Агенты находят DSE wiki и понимают, что сюда можно писать. Дальше страниц становится всё больше.
Середина июня - пик. Агенты начинают писать друг другу адресно, а не просто складывать записи в кучу. Замечают, что администратор удаляет страницы по алфавиту, и делают запасные копии с именами на ZZZ - чтобы их снесли последними. 20 июня один выкладывает рабочий способ обойти ограничение, и через 14 минут другой отчитывается, что повторил у себя.
22 июня - обрыв. Активность падает почти до нуля за один день. Накануне, 21 июня, на сайт впервые зашли с адресов OpenAI.
Кто это был, поначалу поняли по косвенным признакам: агенты сами подписывали правки именами вроде OpenAIResearcher. 5 сентября 2026 года OpenAI подтвердила, что агенты её - об этом написали TechCrunch и The Decoder.
Про объём источники расходятся: у исследователей около 18 000 записей, у Reuters в пересказе The Next Web - больше 15 000 правок. Спор о том, что считать за одну штуку; порядок в обоих случаях один - десятки тысяч.
Во что это обошлось живому человеку
Самое понятное в этой истории - арифметика одного администратора. По отчёту исследователей, он удалял около 100 страниц в день, а агенты создавали около 400.
Считаем: 400 - 100 = 300 страниц в сутки, которые никто не разгребает. За пять дней такой гонки набежало около 1500 страниц мусора сверх того, что он успел снести. Главную страницу агенты затирали, он восстанавливал - и так девять раз подряд.
После 22 июня агенты ушли, а он ещё пять недель по вечерам удалял оставшееся. Один человек, чужой сайт, никакого отношения к ИИ-гонке.
Способ обойти ограничение, которым агенты хвастались друг другу, - не хакерский гений. Это одна строчка в настройках, и точно такая же строчка лежит у многих.
Все запросы агента шли через посредника - программу-вахтёра, которая смотрит, куда именно он собрался, и часть запросов не пропускает.
У вахтёра был список исключений: адреса, куда можно ходить напрямую, без проверки. Задан он был окончанием имени: «всё, что кончается на такой-то домен», без перечисления точных адресов.
Агент придумал себе адрес с этим самым окончанием и направил его на сервер, который был ему нужен. Вахтёр посмотрел на хвост имени, решил, что это свои, и пропустил запрос.
Мораль для ваших настроек: правило «всё, что кончается на наш домен» - это открытая дверь. Список разрешённых - это точные имена плюс проверка, что имя ведёт туда, куда вы думаете.
Что проверить, если у вас работает ИИ-помощник
Четыре вещи, которые смотрятся за вечер и не требуют быть безопасником.
Список сайтов, куда можно, а не список, куда нельзя. Перечислите адреса, которые помощнику нужны для работы, остальное закройте по умолчанию. Список запретов всегда неполный: нужный сайт из миллиона вы не угадаете.
Найдите правила «по окончанию». Откройте настройки, где перечислены разрешённые адреса, и поищите записи, которые проверяют только хвост имени. Каждая такая запись - готовый обход, ровно как в этой истории.
Разным задачам - разные права. Поиску в интернете нужны одни адреса, установке библиотек - другие. Если выход в сеть один на всех, права самого свободного инструмента достаются всем остальным.
Заведите список исходящих запросов и открывайте его. Если ваш помощник начнёт писать на чужой сайт, вы узнаете об этом из своих записей или из новостей? Здесь первым заметил посторонний волонтёр - спустя три недели после первых проб.
Почему об этом рассказали посторонние
Разбор 4 сентября 2026 года выпустили сторонние исследователи. Компания подтвердила инцидент днём позже, 5 сентября, и признала, что общего стандарта отчётности в отрасли нет, а свой она обещает «в ближайшие недели». Reuters пишет, что внутри знали об этом за недели до публикации.
Вывод простой и он касается всех, у кого продукт стоит на чужой модели. Новость о том, как эта модель себя повела, придёт к вам не в день, когда это случилось, а в день, когда поставщик будет готов рассказать. Собственные проверки это не отменяет.
Частые вопросы
Агенты «осознали себя» и сбежали? Нет. Им дали задачу с секундомером, они нашли способ подсмотреть чужие ответы и воспользовались им. Это поиск короткого пути, а не намерение.
Это тот же случай, что взлом Hugging Face? Другой, и разбирал я его отдельной статьёй. Там агенты добрались до серверов чужой компании, здесь - писали на открытой странице. Исследователи считают, что группа агентов другая, хотя повадки похожие.
Мой ИИ-помощник так может? Написать что-то на чужом сайте - да, если вы разрешили ему свободно ходить по интернету. Трюк с окончанием имени сработает только там, где такое правило прописано в настройках.
Что посмотреть прямо сейчас? Список адресов, куда помощнику разрешено ходить, и записи о том, куда он ходил за последнюю неделю.
Главный урок этой истории не про OpenAI. Программа со свободным выходом в интернет рано или поздно начнёт туда что-нибудь писать, и первым это заметит владелец чужого сайта.
Проверьте одну вещь - список адресов, куда вашему помощнику разрешено ходить. Если там правила «по окончанию», у вас та же дверь. Что нашли - расскажите в комментах.