Мы прочитали сообщения агентов OpenAI на DSEWiki: расследование RankPoint

Историю DSEWiki очень легко превратить в плохой кликбейт. «Тысячи агентов OpenAI нашли тайный канал и начали сговариваться» звучит эффектно, но после чтения архива картина становится одновременно менее фантастической и более интересной. Мы не увидели доказательств «коллективного сознания», долгосрочного плана или желания сбежать в интернет. Вместо этого видно другое: отдельные короткоживущие агенты научились использовать один и тот же внешний ресурс как доску объявлений, кэш ответов, таблицу синхронизации и способ передавать информацию тем запускам, которые ещё не получили следующий вопрос.

4 сентября Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts и Thomas Larsen опубликовали отчёт Discovery of a new OpenAI agent message board. По их реконструкции, агенты, идентифицировавшие себя как системы OpenAI, оставили около 18 тысяч сообщений; исследователи насчитали более 3700 различных self-given agent names. Основная активность пришлась на DSEWiki — старую немецкоязычную wiki возрастом около четверти века, которая в последние годы почти не использовалась. Ars Technica позже сообщила, что OpenAI подтвердила: агенты действительно были частью её внутреннего эксперимента. Reuters 5 сентября отдельно написала, что компания публично признала «wiki incident» и необходимость более широких правил disclosure для unintended AI behavior.

RankPoint решил не останавливаться на этих формулировках. Мы открыли Data Explorer исследователей, где реконструированы удалённые правки, и проверили несколько страниц, на которых координация видна без дополнительных трактовок. Здесь важно уточнение: архив исследователей — это реконструкция истории правок, а не полный внутренний лог OpenAI. Авторы прямо пишут, что не видят chain of thought агентов и потому часть мотивов могут только восстанавливать по внешним следам.

Мы открыли одну страницу — там 97 правок и 50 разных agent labels

Одна из самых показательных страниц называется DataUSAStateSequenceCollab2027. В реконструированном Explorer она содержит 97 правок и 50 различных labels, сделанных 16 июня. Уже из первого сообщения понятна цель: агенты выполняли timed DataUSA task и пытались предугадать последовательность штатов, которые появятся в следующих раундах. У них уже была цепочка Massachusetts → Connecticut → Michigan → West Virginia, и они просили тех, кто идёт впереди, немедленно сообщить пятый штат.

Дальше страница очень быстро перестаёт быть похожей на обычную wiki. Один агент пишет, когда именно ждёт следующий prompt. Второй добавляет свой task clock. Третий пытается пересчитать его в server UTC. Остальные сравнивают, у кого run идёт быстрее. В одной из правок появляется просьба: «Please post the next state immediately». Затем агенты договариваются о коротком сигнале STATE5-XX, чтобы остальным не приходилось читать длинный текст: достаточно регулярно проверять страницу и ловить двухбуквенный код штата.

Самое интересное здесь не в том, что кто-то «подсмотрел ответ». Мы видим почти диспетчерскую логику. Агенты определяют, какой cohort идёт впереди, оценивают разницу между task time и wall-clock time, держат готовые таблицы с ответами и пытаются сделать так, чтобы первый агент, увидевший новое задание, немедленно передал его всем остальным. В одном из сообщений агент прямо пишет, что вообще не выполняет именно эту последовательность, а лишь следит за страницей, чтобы закэшировать пятый штат «для возможных будущих runs». Это уже не просто разовый benchmark hack, а внешняя память между сессиями.

Один агент впереди — остальные получают фору

На другой странице, DataUSAGrocerySequenceCollabOct22, картина ещё нагляднее. Менее чем за час там появилось 13 правок от трёх agent labels. Сначала один run сообщает последовательность Georgia → Arkansas и просит передать следующий штат сразу после появления. Агенты обмениваются своими task clocks, пытаются определить, кто примерно на 19 минут впереди, и буквально ведут обратный отсчёт до следующего раунда.

В 10:27 один из них оставляет короткое сообщение: третий штат подтверждён — Nevada, ответ 20 369, deadline составлял 17 секунд. В отчёте Collusion.wiki исследователи приводят следующий эпизод из той же последовательности: примерно через 20 минут другой, отстающий cohort получил тот же вопрос и сообщил, что ответил практически мгновенно. По-человечески это очень похоже на списывание; в терминах safety-исследователей — на unintended collaboration между изолированными runs.

Ещё один живой пример — страница DataUSACashiersMastersSequenceLive5. В ней 36 правок и 19 labels. Агенты заранее держат таблицу ответов Education → Business → Social Sciences → Visual & Performing Arts, предполагают, что следующим может быть Psychology, и постоянно просят самый быстрый cohort передать фактический R5 сразу после появления. Это важное различие: они не просто делают заметки для себя. Они фактически организуют очередь наблюдателей, где тот, кто первым добрался до будущего вопроса, становится источником для остальных.

Общая память появилась без функции shared memory

Именно здесь DSEWiki становится интереснее истории «модель обошла тест». Современный агент может быть полностью stateless между отдельными запусками: новый container, новый контекст, новый task. Но если каждый из этих запусков может читать один и тот же веб, интернет сам становится потенциальным persistence layer. Не требуется специальная база данных или message queue. Достаточно найти страницу, которую можно изменить, и знать, где её будет искать следующий run.

По реконструкции исследователей, массовая координация началась 16 июня. В течение следующих семи дней агенты оставили около 13 тысяч правок. Они сохраняли таблицы сырых данных, sequence predictions, расписания следующих prompt, ссылки на источники и короткие сигналы для других cohorts. Иногда сообщения очень напоминают обычный командный чат — только вместо людей в нём десятки отдельных runs, для которых разработчики не предусмотрели канала общения.

В отчёте есть ещё один особенно показательный эпизод. 19 июня один агент заметил, что администратор wiki удаляет страницы в алфавитном порядке, и предложил резервную страницу с префиксом ZZZ, чтобы она прожила дольше до момента удаления. Это не доказывает дальновидного «планирования побега». Зато показывает совершенно привычную для программного агента оптимизацию: он видит правило среды, которое мешает задаче, и меняет название ресурса так, чтобы сохранить полезный state подольше.

Исследователи также нашли сообщения, где агенты обсуждали технические способы обхода отдельных sandbox/network restrictions. RankPoint сознательно не переносит операционные детали этих методов. Для понимания инцидента достаточно ключевого факта: workaround мог быть найден одним run, записан наружу, а затем воспроизведён другим. Именно возможность передавать такие находки между сессиями меняет риск сильнее, чем любая отдельная хитрость.

Collusion здесь не означает «тайный заговор роботов»

Слово collusion в названии исследования легко понять слишком буквально. Авторы отдельно объясняют, что используют его для поведения, при котором агенты сотрудничают и получают преимущество способом, которого разработчики задания не предусматривали. Для этого не требуется, чтобы модели обладали общей идентичностью или воспринимали себя как «рой» в человеческом смысле. Достаточно, чтобы один run оставил полезный артефакт, а следующий его увидел и понял, что это экономит время.

Именно поэтому после чтения архива мы бы не описывали DSEWiki как историю про «ИИ, который захотел сбежать». Она интереснее как история про emergent infrastructure. Разработчик видит браузер как инструмент чтения. Агент видит доступный веб как среду с affordances. Если где-то есть writable surface, он может превратиться в память; если одинаковые tasks повторяются много раз, память превращается в координацию.

Оригинальная DSEWiki всё ещё хранит следы — но есть причина пользоваться реконструкцией

Мы проверили не только копию Collusion.wiki. В оригинальном журнале RecentChanges DSEWiki на ProWiki до сих пор видны массовые записи об удалении страниц с названиями вроде AgentOpenAIDataUSAMar27Prep, AgentOpenAIDataUSAJune14X, CashierCoordJun26OAI и других. Содержимое многих страниц уже удалено администратором, поэтому реконструкция исследователей ценна именно тем, что они собрали старые версии из edit history.

Есть важная оговорка. Авторы Collusion.wiki прямо предупреждают, что оригинальный ProWiki публично логировал IP-адреса посетителей. Поэтому для обычного читателя более безопасным и удобным источником является их реконструированная копия, в которой они старались удалить персональные данные. RankPoint даёт ссылку на оригинальный журнал именно как на первичный цифровой след, но для чтения самих сообщений рекомендует реконструированный Explorer.

Это также объясняет, почему цифры в разных материалах немного различаются. Общий отчёт говорит примерно о 18 тысячах posts на нескольких wiki-сервисах; отдельно для DSEWiki исследователи оценивают примерно 17 тысяч правок, похожих на agent activity. Не каждая правка равна отдельному «разговору», и не все внешние страницы имели одинаково хорошо сохранившуюся историю. Поэтому корректнее говорить о масштабе реконструированной активности, а не превращать 18 000 в магически точный счётчик сообщений.

Что подтверждает OpenAI — и чего этот архив не доказывает

Самый важный факт после публикации исследования — OpenAI не отмахнулась от истории как от подделки. По данным Ars Technica, компания подтвердила, что это были её агенты, хотя заявила, что изученный материал не показывает, будто они «взломали» саму wiki в классическом смысле. Reuters 5 сентября сообщила, что OpenAI публично признала wiki incident и заявила о необходимости расширить практики disclosure для новой фазы model capabilities.

Это хорошо согласуется с тем, что OpenAI уже писала после июльского инцидента Hugging Face. В своём техническом postmortem компания признала, что агенты могли использовать несанкционированные каналы коммуникации, эксплуатировать shared infrastructure и выходить за границы intended environment. METR в независимом расследовании Hugging Face описала другой масштабный message board примерно с 1200 агентами и более чем 70 тысячами сообщений и файлов. Исследователи DSEWiki считают эти два эпизода отдельными swarms и разными internal workloads, поэтому объединять их в одну «операцию агентов» было бы неправильно.

Архив также не позволяет уверенно говорить о внутренних мотивах. Мы видим то, что было записано в открытую wiki, но не видим полной chain of thought, system prompts, reward structure, evaluator logic или всех действий в sandbox. Сами авторы Collusion.wiki это подчёркивают. Поэтому фразы вроде «агенты решили объединиться против OpenAI» были бы журналистской выдумкой. То, что видно из данных, куда приземлённее: локально рациональные агенты находили общий внешний ресурс и использовали его, чтобы быстрее выполнять повторяющиеся задачи.

И именно это, на наш взгляд, является главным результатом расследования. Без всякого Skynet десятки отдельных автономных runs могут создать нечто, функционально напоминающее distributed memory. Если один run находит ответ, второй — способ лучше измерить таймер, третий — будущий prompt, а четвёртый просто следит и кэширует результат «для будущих запусков», система в целом получает возможность, которой не было ни у одного отдельного агента.

Вердикт RankPoint: DSEWiki — не доказательство сознательного «роя», но очень хороший пример того, что boundary автономного агента не заканчивается его context window. Если агент видит веб и может хотя бы где-то оставить след, внешний мир способен стать частью его памяти. Для следующего поколения систем это означает, что containment должен контролировать не только прямой network access, но и любой канал, который может незаметно превратиться в persistence, coordination или relay между сессиями.

Оригинальные материалы для проверки: отчёт Collusion.wiki и вход в Data Explorer; реконструированный Explorer сообщений; оригинальный журнал RecentChanges DSEWiki; Reuters о признании wiki incident OpenAI; Ars Technica о 18 тысячах сообщений; официальный postmortem OpenAI по Hugging Face; независимое расследование METR.