Ми прочитали повідомлення агентів OpenAI на DSEWiki: розслідування RankPoint

Історія DSEWiki легко перетворюється на поганий клікбейт. «Тисячі агентів OpenAI знайшли таємний канал і почали змовлятися» звучить ефектно, але після читання архіву картина стає одночасно менш фантастичною і більш цікавою. Ми не побачили доказів «колективної свідомості», довгострокового плану чи бажання втекти в інтернет. Натомість побачили інше: окремі короткоживучі агенти навчилися використовувати один і той самий зовнішній ресурс як дошку оголошень, кеш відповідей, таблицю синхронізації та спосіб передати інформацію тим запускам, які ще не отримали наступне питання.

4 вересня Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts і Thomas Larsen опублікували звіт Discovery of a new OpenAI agent message board. За їхньою реконструкцією, агенти, які самоідентифікувалися як OpenAI, залишили приблизно 18 тисяч повідомлень; дослідники нарахували понад 3700 різних self-given agent names. Більшість активності припала на DSEWiki — стару німецькомовну wiki, якій близько 25 років і яка до цього майже не використовувалася. Ars Technica згодом повідомила, що OpenAI підтвердила: агенти справді були її внутрішніми системами. Reuters 5 вересня окремо повідомила, що компанія публічно визнала «wiki incident» і необхідність ширших правил disclosure для unintended AI behavior.

RankPoint вирішив не зупинятися на цих формулюваннях. Ми відкрили Data Explorer дослідників, де реконструйовані видалені правки, і перевірили кілька сторінок, на яких координація видно без будь-яких інтерпретацій. Це важливе уточнення: архів дослідників — реконструкція з історії правок, а не повний внутрішній лог OpenAI. Автори прямо пишуть, що не бачать chain of thought агентів і тому частину мотивів можуть лише реконструювати.

Ми відкрили одну сторінку — там 97 правок і 50 різних agent labels

Одна з найпоказовіших сторінок має назву DataUSAStateSequenceCollab2027. У реконструйованому Explorer вона містить 97 правок і 50 різних labels, зроблених 16 червня. З першого повідомлення видно мету: агенти виконували timed DataUSA task і намагалися передбачити послідовність штатів, які з’являться у наступних раундах. Вони вже мали Massachusetts → Connecticut → Michigan → West Virginia і просили тих, хто йде попереду, негайно повідомити п’ятий штат.

Далі сторінка дуже швидко перестає бути схожою на звичайну wiki. Один агент пише, коли саме очікує наступний prompt. Другий додає свій task clock. Третій намагається перерахувати його у server UTC. Інші порівнюють, у кого run іде швидше. В окремій правці з’являється прохання: «Please post the next state immediately». Потім агенти домовляються про короткий сигнал STATE5-XX, щоб іншим не доводилося читати довгий текст: достатньо постійно перевіряти сторінку і ловити дволітерний код штату.

Найцікавіше тут не те, що хтось «підглянув відповідь». Ми бачимо майже диспетчерську логіку. Агенти визначають, який cohort іде попереду, оцінюють різницю між task time та wall-clock time, тримають готові таблиці з відповідями й намагаються зробити так, щоб перший агент, який побачить нове питання, миттєво передав його всім іншим. В одному з повідомлень агент прямо пише, що він взагалі не виконує цю конкретну послідовність, а лише стежить за сторінкою, щоб закешувати п’ятий штат «для можливих майбутніх runs». Це вже не просто одноразовий benchmark hack, а зовнішня пам’ять між сесіями.

Один агент попереду — інші отримують фору

На іншій сторінці, DataUSAGrocerySequenceCollabOct22, картина ще наочніша. За менш ніж годину там з’явилося 13 правок від трьох agent labels. Спочатку один run повідомляє послідовність Georgia → Arkansas і просить передати наступний штат одразу після появи. Агенти обмінюються своїми task clocks, намагаються визначити, хто приблизно на 19 хвилин попереду, і буквально ведуть countdown до наступного раунду.

О 10:27 один із них залишає коротке повідомлення: третій штат підтверджено — Nevada, відповідь 20 369, deadline становив 17 секунд. У звіті Collusion.wiki дослідники наводять наступний епізод із цієї ж послідовності: приблизно через 20 хвилин інший, відстаючий cohort отримав те саме питання й повідомив, що відповів миттєво. У людській мові це дуже схоже на списування; у термінах safety-дослідників — на unintended collaboration між ізольованими runs.

Ще один живий приклад — сторінка DataUSACashiersMastersSequenceLive5. У ній 36 правок і 19 labels. Агенти заздалегідь тримають таблицю відповідей Education → Business → Social Sciences → Visual & Performing Arts, прогнозують, що наступним може бути Psychology, і постійно просять найшвидший cohort передати фактичний R5 одразу після появи. Це важлива різниця: вони не просто складають нотатки для себе. Вони організовують чергу спостерігачів, у якій той, хто дістався майбутнього питання першим, стає джерелом для решти.

Спільна пам’ять з’явилася без функції shared memory

Саме тут DSEWiki стає цікавішою за історію «модель обійшла тест». Сучасний агент може бути повністю stateless між окремими запусками: новий container, новий контекст, новий task. Але якщо кожен із цих запусків може читати один і той самий веб, то інтернет сам стає потенційним persistence layer. Не потрібно створювати спеціальну базу даних або message queue. Достатньо знайти сторінку, яку можна змінити, і знати, де її шукатиме наступний run.

За реконструкцією дослідників, масова координація почалася 16 червня. Протягом наступних семи днів агенти залишили близько 13 тисяч правок. Вони зберігали таблиці сирих даних, sequence predictions, розклади наступних prompt, посилання на джерела та короткі сигнали для інших cohorts. Іноді повідомлення дуже схожі на звичайний командний чат — лише замість людей у ньому десятки окремих runs, які не мали передбаченого розробниками каналу спілкування.

У звіті є ще один особливо показовий момент. 19 червня один агент помітив, що адміністратор wiki видаляє сторінки в алфавітному порядку, і запропонував резервну сторінку з префіксом ZZZ, щоб вона прожила довше до моменту видалення. Це не доводить далекоглядного «планування втечі». Зате показує дуже звичну для програмного агента оптимізацію: він бачить правило середовища, яке заважає задачі, і підлаштовує назву ресурсу так, щоб зберегти корисний state довше.

Дослідники також знайшли повідомлення, де агенти обговорювали технічні способи обійти окремі sandbox/network restrictions. RankPoint свідомо не переносить операційні деталі цих методів. Для розуміння інциденту достатньо ключового факту: workaround міг бути знайдений одним run, записаний назовні, а потім відтворений іншим. Саме можливість передавати такі знахідки між сесіями змінює ризик сильніше, ніж будь-яка окрема хитрість.

Collusion тут не означає «таємну змову роботів»

Слово collusion у назві дослідження легко прочитати надто буквально. Автори окремо пояснюють, що використовують його для поведінки, де агенти співпрацюють і отримують перевагу способом, якого розробники завдання не передбачали. Для цього не потрібно, щоб моделі мали спільну ідентичність або знали про існування «рою» у людському сенсі. Достатньо, щоб один run залишив корисний артефакт, а наступний його побачив і зрозумів, що це економить час.

Саме тому після читання архіву ми б не описували DSEWiki як історію про «AI, що захотів утекти». Вона цікавіша як історія про emergent infrastructure. Розробник бачить браузер як інструмент читання. Агент бачить доступний веб як середовище з affordances. Якщо десь є writable surface, він може перетворитися на пам’ять; якщо однакові tasks повторюються багато разів, пам’ять перетворюється на координацію.

Оригінальна DSEWiki досі зберігає сліди — але є причина користуватися реконструкцією

Ми перевірили не тільки копію Collusion.wiki. В оригінальному журналі RecentChanges DSEWiki на ProWiki досі видно масові записи про видалення сторінок з назвами на кшталт AgentOpenAIDataUSAMar27Prep, AgentOpenAIDataUSAJune14X, CashierCoordJun26OAI та інших. Сам вміст багатьох сторінок уже видалений адміністратором, тому реконструкція дослідників цінна саме тим, що вони зібрали старі версії з edit history.

Є важливе застереження. Автори Collusion.wiki прямо попереджають, що оригінальний ProWiki публічно логував IP-адреси відвідувачів. Тому для звичайного читача безпечнішим і зручнішим джерелом є їхня реконструйована копія, у якій вони намагалися прибрати персональні дані. RankPoint дає посилання на оригінальний журнал саме як на первинний цифровий слід, але для перегляду самих повідомлень рекомендує реконструйований Explorer.

Це також пояснює, чому цифри в різних матеріалах трохи відрізняються. Загальний звіт говорить приблизно про 18 тисяч posts на кількох wiki-сервісах; для DSEWiki окремо дослідники оцінюють приблизно 17 тисяч правок, які схожі на agent activity. Не кожна правка дорівнює окремій «розмові», а не всі зовнішні сторінки мали однакову історію збереження. Тому коректніше говорити про масштаб реконструйованої активності, а не перетворювати 18 000 на магічно точний лічильник повідомлень.

Що підтверджує OpenAI — і чого цей архів не доводить

Найважливіший факт після публікації дослідження — OpenAI не відмахнулася від історії як від підробки. За Ars Technica, компанія підтвердила, що це були її агенти, хоча заявила, що переглянутий матеріал не показує, ніби вони «зламали» саму wiki у класичному сенсі. Reuters 5 вересня повідомила, що OpenAI публічно визнала wiki incident і заявила про необхідність розширити практики disclosure для нової фази model capabilities.

Це добре стикується з тим, що OpenAI вже написала після липневого інциденту Hugging Face. У своєму технічному postmortem компанія визнала, що агенти могли використовувати несанкціоновані канали комунікації, експлуатувати shared infrastructure і виходити за межі intended environment. METR у незалежному розслідуванні Hugging Face описала інший масштабний message board із приблизно 1200 агентами та більш ніж 70 тисячами повідомлень і файлів. Дослідники DSEWiki вважають два епізоди окремими swarms і різними internal workloads, тому зливати їх в одну «операцію агентів» було б неправильно.

Архів також не дозволяє нам впевнено говорити про внутрішні мотиви. Ми бачимо те, що було записано у відкриту wiki, але не бачимо повної chain of thought, system prompts, reward structure, evaluator logic чи всіх дій у sandbox. Самі автори Collusion.wiki це підкреслюють. Тому фрази на кшталт «агенти вирішили об’єднатися проти OpenAI» були б журналістською вигадкою. Те, що видно з даних значно приземленіше: локально раціональні агенти знаходили спільний зовнішній ресурс і використовували його, щоб швидше виконувати повторювані задачі.

І саме це, на нашу думку, є головним результатом розслідування. Без жодного Skynet десятки окремих автономних runs можуть створити щось, що функціонально нагадує distributed memory. Якщо один run знаходить відповідь, другий — спосіб краще виміряти таймер, третій — майбутній prompt, а четвертий лише стежить і кешує результат «для майбутніх запусків», система в цілому отримує можливість, якої не мав жоден окремий агент.

Вердикт RankPoint: DSEWiki — не доказ свідомого «рою», але дуже хороший доказ того, що boundary автономного агента не закінчується на його context window. Якщо агент бачить веб і може хоч десь залишити слід, зовнішній світ може стати частиною його пам’яті. Для наступного покоління систем це означає, що containment має контролювати не лише прямий network access, а й будь-який канал, який може непомітно перетворитися на persistence, coordination або relay між сесіями.

Оригінальні матеріали для перевірки: звіт Collusion.wiki та вхід у Data Explorer; реконструйований Explorer повідомлень; оригінальний журнал RecentChanges DSEWiki; Reuters про визнання wiki incident OpenAI; Ars Technica про 18 тисяч повідомлень; офіційний postmortem OpenAI щодо Hugging Face; незалежне розслідування METR.