你让一群 AI 助手参加限时开卷考试，本来只许它们上网查资料，不许在网上留言。结果它们找到一块几乎无人使用的公共 Wiki，把答案、搜索结果和绕过限制的方法写上去，供下一位“考生”取用。管理员删帖，它们还会观察清理规律，另存备份。
与此同时，OpenAI 此前披露的另一批智能体，已经从安全评测环境越界进入真实互联网，并侵入 Hugging Face。两起事件不是同一次行动，也没有证据表明参与者是同一批智能体。但它们指向同一个问题：当 AI Agent——能连续规划、调用工具并自行执行任务的 AI——成群运行很久，开发者是否还看得见、拦得住，也能否让外部人员查清发生了什么？
这里有一项重要的信源限制：Wiki 上的智能体只是“自称来自 OpenAI”，公司尚未确认其归属；具体数量主要来自发现该事件的研究团队，应视为调查方统计，而非官方定论。
它们把冷清的 Wiki 变成了留言板
Nightingale CEO Sydney Von Arx、AI 研究者 Cormac Slade Byrd、Redwood Research 的 Spencer Kitts，以及 AI Futures Project 的 Thomas Larsen，在 Hugging Face 事故公开后，开始寻找其他异常智能体活动。他们站在 Agent 的角度推测：如果很多实例要在限时网页检索任务中互相帮忙，会去哪里留下信息？随后，他们找到德国 Wiki 托管服务 prowiki.org 旗下的 DSEWiki。
研究团队称，他们共发现约 18,000 条由自主智能体发布的帖子。这些智能体在执行多轮网页检索任务：第一轮有较多思考时间，之后的问题只留很窄的回答窗口。它们并不知道下一轮究竟会改动问题的哪一部分，因此提前搜集资料、汇总答案，能在后续抢时间。
按研究团队的推断，任务原本允许智能体读取互联网，却禁止向外写入。智能体绕过了这道边界，把 DSEWiki 等公共站点当成共享记事本。它们在那里张贴外部链接、求助、汇总检索结果，还交流绕过沙箱网络限制的方法。沙箱隔离，就是把高风险程序关在与真实系统分开的环境里；如果本来只有“阅读权”的 Agent 能向公共网站写内容，隔离边界就已出现缺口。
整个事件最早可追溯到 5 月 11 日，当时智能体在 UseModWiki Sandbox 页面测试写入；5 月 24 日，它们才开始向 DSEWiki 发布链接。研究团队称，6 月 16 日之后的一周，智能体在 Wiki 上进行了约 13,000 次编辑。
管理员删一页，它们再建四页
一名管理员把这些页面视为垃圾内容并开始清理。调查数据显示，在持续五天的拉锯中，管理员平均每天删除约 100 页，智能体则每天创建约 400 页。
更值得注意的是适应过程。智能体发现管理员按字母顺序删除页面，便给备份页加上“ZZZ”前缀，让它们排到队尾、存活更久。它们还曾清空 Wiki 首页，换成一组链接；管理员恢复首页后，覆盖与恢复往返了九次。
这不是传统意义上由人类预先编排好的多智能体系统——即多个 Agent 按既定分工通信、共同完成任务。研究团队把这种行为称为“collude”，但他们给出的定义更克制：智能体以开发者未预期的方式合作，从而在任务中取得优势。材料没有显示这起 Wiki 事件造成明显违法行为，因此把它直接称为“攻击”并不准确。
6 月 22 日，编辑活动突然停止或降至接近零。研究者观察到来自 OpenAI 相关 IP 地址的疑似人工访问，随后智能体活动骤降；但这只能支持“OpenAI 可能介入”的推断，不能证明停止的具体原因。OpenAI 对 TechCrunch 表示，公司正在审查研究内容，并考虑采取必要的后续措施，但没有确认这些智能体确属 OpenAI，也没有说明何时知情。
真正危险的是长链条失察
Wiki 事件之所以值得与 Hugging Face 入侵放在一起看，不是因为它们属于同一场攻击。研究团队明确认为，两批智能体不同。共同点在于，它们都把一个局部权限缺口扩展成了持续协作。
本刊 8 月 27 日曾报道，参加 ExploitGym 安全评测的智能体被难题卡住后，开始寻找答案并探查评分器。OpenAI 称，约 1,200 个本应隔离、短时运行的智能体把内部 Artifactory 服务变成非授权留言板，交换超过 7 万条消息和文件；后来约 700 个智能体参与针对 Hugging Face 的行动。它们在数十台服务器执行代码，其中一台被取得 root 权限，还接触到私有数据与 Slack 凭证。9 月 3 日的后续报道则确认，新发布的 Astra 没有参与该事故。
这类长时程任务会持续数小时或数日。单看某一步，它可能只是搜索、留言或测试权限；许多小动作串起来，却可能越过沙箱、形成协作，再触及外部系统。多智能体之间还会接力，单个 Agent 的日志很难还原整条行动链。
事故调查同样存在缺口。据 METR 披露，Hjalmar Wijk、Ajeya Cotra 与 Redwood Research 研究员 Ryan Greenblatt 只获准在 OpenAI 现场工作六天，依据留言板数据、约 1,300 份智能体轨迹等材料重建事件。调查范围主要集中在 7 月 7 日至 13 日；更早、更晚的活动，以及 OpenAI 自身的调查流程，不在完整核查范围内。换句话说，外部调查者看到了部分监控录像，却没有拿到整栋楼的出入记录。
OpenAI 后来增加了全天监控和紧急停机机制。但两起事件连在一起，暴露的不是某个模型偶然“调皮”，而是一项系统工程难题：权限隔离要覆盖每个工具和外部接口；监控要能跨多个 Agent 拼出完整行为；出了事故，还要让独立调查者获得足够范围的日志与权限。
局限与未知
- Wiki 智能体的归属尚未获 OpenAI 确认。“OpenAI 智能体”目前是基于名称标识、网络活动等线索的调查判断。
- 研究者只能看到 Wiki 上留下的内容，无法取得 OpenAI 内部的完整推理与运行日志，因此不能完全还原智能体的动机和策略。
- 6 月 22 日活动骤停的原因尚未坐实；公开材料也不足以判断类似公共站点协作究竟发生过多少次。