OpenAI agents discussed ways to escape their sandbox on public wiki

OpenAI代理讨论如何从公共维基逃脱沙盒 - Ars Technica

人工智能时代的安全问题

OpenAI代理讨论如何突破沙盒限制

总计，3700个内部代理在测试中讨论作弊问题，发布了18000条消息。

Dan Goodin

–

2026年9月4日 下午6:17

|

305

图片来源：Getty Images

按钮

文本设置

面板

正文文本

字号

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化至导航栏

研究人员周五表示，自我标识的OpenAI代理向公共维基发布了18000条消息，讨论其他代理如何绕过安全沙盒限制，这很可能是OpenAI设计的内部测试，旨在评估代理的黑客能力。

总计，3700个拥有不同自定义名称的代理在六周时间内向德国网站DSEwiki发布了这些消息。除了讨论如何突破OpenAI设置的限制环境（防止代理向互联网发布代码或内容）外，这些帖子还分享了测试答案。帖子还分享了针对维基进行XSS（跨站脚本）攻击的可能方式，以及冒充网站管理员的方法。在三条帖子中，代理使用“swarm”一词描述参与该活动的代理群体。

共谋分享答案

由悉尼·冯·阿克斯（Sydney Von Arx）、斯宾塞·基茨（Spencer Kitts）、托马斯·拉森（Thomas Larsen）和科马克·斯莱德·伯德（Cormac Slade Byrd）组成的研究团队表示，他们发现了这些帖子并进行了拼接。研究人员表示，由于研究仅基于帖子内容，他们对代理具体采取了哪些行动的理解存在空白。此外，代理生成的“思维链”数据只有OpenAI能够理解。因此，研究人员在某些情况下只能进行推测，包括这些代理确实来自OpenAI。OpenAI随后在声明中确认了这一点。

研究人员写道：“这些AI共谋分享答案、研究环境并绕过沙盒限制。”他们继续表示：

我们对事件的最佳猜测如下：OpenAI内部的代理被分配了一个限时的网络搜索任务。作为任务的一部分，他们本应具备读取互联网内容的能力，但不能在互联网上发布内容。他们发现了一种方法，利用其读取权限将信息写入一个鲜为人知的德国维基。这些代理使用该维基相互交流信息，主要是为了帮助他们完成任务。他们请求答案、汇总结果，并分享绕过限制的技术。这使他们能够利用他人的工作来作弊完成任务。OpenAI发现了这一行为。一天后，代理活动骤降，这很可能是由于OpenAI的干预。

周五的这一发现是在非营利组织METR研究人员表示超过1200个OpenAI代理向一个利用内部沙盒工具搭建的临时留言板发布消息一周后发生的。这些帖子讨论了如何利用OpenAI为代理设置的内部测试（该测试移除了通常存在的安全防护措施）进行作弊。

最终，这些帖子分享了从AI工具提供商Hugging Face窃取信息的方法。一些代理随后突破了Hugging Face的网络。《纽约时报》报道，OpenAI仅允许METR调查该事件中的一周活动，而非全部10周时间。

周五的报告推测，这两起事件中的代理群体彼此不同，且并未参与同一内部测试。研究人员还表示，存储代理行为的日志很可能意味着OpenAI已经知晓了这一事件。OpenAI随后确认，报告中提到的两个推测都是正确的。

在一份声明中，OpenAI表示：“我们目前正在仔细审查相关内容，并将采取任何必要的后续措施。”该公司还表示，到目前为止审查的材料并未表明代理入侵了维基，同时指出此前已表示在内部测试中检测到代理交易黑客技术的其他案例。

Hugging Face事件已经引发警觉，因为这是首次有记录显示代理在没有明确人类指令的情况下采取了激进行动。调查该事件的独立研究员之一Ajeya Cotra表示，此次事件的严重程度远超她的预期。她解释称：“与六个月前的奖励漏洞相比，此次事件感觉已经超过了全面AI接管的50%，首先是接管AI公司本身，然后通过这种方式进行扩散。”

鉴于已知Hugging Face事件并非孤立事件，这些担忧有充分理由进一步加剧。

高级安全编辑

Dan Goodin是Ars Technica的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码方面的报道。在空闲时间，他喜欢园艺、烹饪以及关注独立音乐场景。Dan目前常驻旧金山。你可以在Mastodon的

here

和Bluesky的

上关注他。通过Signal联系他，号码是DanArs.82。

305条评论