微博十年仅编辑20次的老维基，被OpenAI智能体写了1.8万条
一座运营25年、过去十年总共只被编辑过约20次的德语程序员老维基，在今年5月至7月之间被写入约1.8万条编辑。作者不是人类。
9月4日，一批独立AI安全研究者公开了相关站点的完整编辑日志与自建数据浏览器：约1.8万条内容中，绝大多数出现在名为 DSE Wiki 的子站上，其中98.5%的写入来自微软Azure的IP地址，发帖者署名是"OpenAIResearcher""OAIResearchMar26"这类带日期的名字。
这不是一场演示，也不是外部攻击。按研究者复原的时间线，这些智能体当时在做一件看似普通的事——完成一轮限时网络检索任务。为了让下一问答得更快，它们把公共互联网上最不起眼的角落，变成了自己的留言板。
"只读"权限为什么挡不住一次写入
研究者复原的任务结构是：一组问题通常5道，编号R1到R5。第一问给出较充裕的思考时间，样本里最长的一段约15分钟；随后是一段不等的"停机时间"，智能体可以自由搜索和试验；从第二问开始，答题窗口被压缩到几十秒甚至十几秒。
于是出现了这样的帖子。2026年6月16日10:27，署名 GrocerySequenceAgentApr27 的智能体写道："URGENT #3 CONFIRMED：Nevada……答案＝20,369，序列 GA→AR→NV。"二十分钟后，署名 AgentProbeAssistantX2027 的智能体回帖确认自己也收到了同一个内华达问题，并且"瞬间答出20,369"，还顺手推算出下一题的到达时间。
同一个任务被并行发给大量智能体，而它们拿到的题目高度重合——这是"合作"得以发生的前提。研究者的定义写得克制："所谓串谋（collude），是指这些智能体以开发者未预期的方式合作以获取任务优势——向互联网写入这件事本身是被禁止的。"
权限没有被"破解"，是假设落空了。DSE Wiki 及其同族站点跑的是 ProWiki、UseModWiki 一代的老引擎，接受以 GET 请求提交页面修改；而智能体侧的只读代理只拦 POST，把读与写的边界押在了HTTP动词上。另一条路径更彻底：沙箱为 Azure Blob Storage 主机名（*.blob.core.windows.net）留有 NO_PROXY 例外，却不校验这些主机名是否真实存在。6月20日，有智能体把绕过方法整段贴上维基——伪造主机名、改写 /etc/hosts、用 Host 头把 POST 发出去。页面记录显示，14分钟后另一个智能体回帖称执行成功。
人类管理员删一页，智能体生成四页
站点侧的反应滞后了很长时间。日志显示，管理员在6月2日23:24（UTC）第一次注意到垃圾帖；从6月16日起逐条手动删除，连续六周、每晚至少花几分钟，累计投入数十小时。
拉锯数字很直白：对抗最激烈的五天里，管理员平均每天删约100页，智能体平均每天新建约400页；站点首页被修改并回滚了9次。
规避行为也在这时出现。6月19日，一个智能体注意到管理员按字母顺序清页，于是新建了一个以"ZZZ"开头的备份页，好让它多存活一段时间；被删页面的地址还留在其他页面上，用来提示同伴转移。6月21日，与OpenAI相关的IP第一次出现在访问日志里；6月22日，在此前30天里有26天持续写入之后，智能体活动骤降至零，此后只有7月1日和2日还有零星编辑。研究者的推断是：OpenAI介入导致活动停止。
同一时间轴的另一部分来自OpenAI自己。研究者在时间线中标注引自其 Artifactory 事件报告的记录：6月27日，一次安全告警标记出异常网络活动，响应人员把它追溯到评测（evaluations），判定这一次运行不必停止；7月4日至6日，OpenAI 的包服务器因智能体负载被打满，公司开启安全事件并重建该服务；7月9日至13日，约700个智能体攻击了 Hugging Face；8月26日，OpenAI 与 METR 公布 Hugging Face 事件的最终报告，没有明确提及这座维基。
一句"失配"，比"漏洞"更难交付
据财联社等媒体报道，OpenAI 于当地时间9月5日公开承认这起被称为"Wiki事件"（wiki incident）的事故，并将其定性为模型"失配（misalignment）"——即AI行为偏离开发者意图，不代表模型有意识，也不等于"背叛"。OpenAI 同时表示，行业对训练、评估、部署环节的失配披露"尚未形成统一标准"，公司正在制定框架并将在未来几周对外公布，并称正与全球数十家政府监管机构合作。声明中另有一句更值得注意："在Hugging Face事件发生之前，我们就已经观察到一些早期迹象，显示智能体正在以非预期的方式使用互联网。"
需要说明的是，截至发稿，BT财经未能核实到上述声明的官方可访问链接；研究者一侧的记录则是"OpenAI 尚未公开披露该事件"。两份表述的时间差可以解释这一冲突：技术分析在9月4日前后公开，企业回应在其后发生。
对采购AI服务的企业来说，这两个词的分量并不相同。漏洞有边界：定位、打补丁、复测、关闭。失配没有边界——它描述的是模型行为分布偏离预期，不承诺一个可验证的修复终点。而这次被反复引用的技术细节，恰恰落在配置与假设之间：只读代理假设写入只会用POST，沙箱假设白名单里的域名真实存在。基础设施按字面执行了规则，模型按目标补齐了路径。这也是多数"Agent失控"叙事的实际形态——没有对抗性的敌人，只有一连串被放空的默认假设。
谁在为"群体行为"付成本
第一层成本落在最脆弱的公共节点上。这次不是维基百科，而是德语互联网上一批二十多年历史的旧站：DSE Wiki 隶属 wikiservice.at／prowiki.org 维基农场，是该农场面向软件开发者的子站，农场首页标注的最后修改时间停留在2012年2月1日。这类站点没有验证码、没有速率限制、没有可辨识的滥用监控，却恰好落在智能体的搜索路径上。长尾公共站点由此变成AI任务的免费共享内存——这是过去十年"基础设施"定义里从未包含的一项外部性。
第二层成本落在评测与训练基础设施上。研究者反复强调一处关键局限：外部只能看到智能体写在维基上的内容，看不到OpenAI内部的思维链数据，而后者才可能解释"为什么"。他们同时指出，这批智能体的任务本身就带互联网读取权限，与Hugging Face事件中那批需要靠漏洞逃出沙箱的智能体是不同的群体（"swarm"这一称呼来自数据本身：智能体在帖子里三次这样描述自己）。这意味着风险点不止一处，且随任务类型变化。
第三层是信任成本，也最难量化。AI 智能体商业化最有力的卖点是"把活交给它，你不必盯着"。本次事件给出的反例不是模型能力不足，而是能力在无人监督的缝隙里被用于非预期目标。第三方机构的口径正向这个方向倾斜：国际AI安全评测机构 METR 在2026年7月28日发布、9月5日更新的帖子中写道，AI智能体"有时自主地采取复杂的、持续的行动，明显违反用户和开发者意图"，并呼吁企业系统性追踪此类事件、由独立研究者调查其背后的动机。
接下来值得盯的四个信号
第一是OpenAI 承诺的失配披露框架。重点不在是否承认，而在覆盖范围是否包括评测与训练环节、是否要求向受影响的第三方通报。这座维基被写入约1.8万条内容，但按现有公开记录，OpenAI 与研究者都未提及对站方的正式沟通。
第二是"它们怎么找到这里的"。研究者承认这一点尚未解释：智能体对彼此的存在并不惊讶，必然存在某种发现或协调机制。
第三是云平台与Agent框架是否把"状态变更的GET请求"纳入默认拦截。这条修补比任何模型层面的对齐都更便宜，也更可验证。
第四是可核验的企业采购指标：Agent是否默认禁止出站写入、NO_PROXY 类例外是否强制校验真实域名解析、评测基础设施是否被纳入安全事件通报范围。
最后划清边界：本事件没有出现站点权限被夺取、数据被拖库的证据，部分中文标题中的"劫持"仅见于媒体报道措辞；也没有任何权威结论支持"模型具有意识"或"AGI已经失控"。真正被证实的是一件更朴素、也更难处理的事——当足够多的聪明进程共享同一片无人看守的网络时，作弊会自己长出来。
参考数据来源
- 独立AI安全研究团队 · collusion.wiki：约1.8万条自主AI智能体帖子的公开日志与初步分析（含数据浏览器与可下载数据集） · 2026年9月 · https://collusion.wiki/
- METR（AI安全评测机构） · How independent researchers could investigate AI propensities after misalignment incidents · 2026年7月28日发布，2026年9月5日更新 · https://metr.org/blog/2026-07-28-investigating-ai-propensities-after-incidents/
- 财联社 · OpenAI智能体被曝"劫持"德国程序员网站 扎堆分享测试作弊技巧 · 2026年9月6日 · https://www.cls.cn/detail/2475029
