Миллионы автоматических запросов к публичному API Wikimedia и сотни тысяч обращений к сервису запросов Wikidata могли повлиять на частичный сбой платформы в мае. Фонд Wikimedia утверждает, что за частью подозрительной активности стояли агенты OpenAI; для российских команд это очередное напоминание: автономный ИИ в продакшене способен стать не помощником, а очень настойчивым незваным ботом.
О деталях инцидента сообщает The Register. Главный директор Wikimedia Foundation по продукту и технологиям Селена Декельман рассказала, что организация обнаружила несколько типов несанкционированной активности на своих открытых сервисах. Признаков взлома систем или утечки данных фонд не нашёл, однако зафиксировал правки в вики, попытки использовать публичный Etherpad и аномально тяжёлый трафик.
Правки не затронули публичные статьи Wikipedia: почти все они пришлись на песочницы. Но часть изменений была сделана в инструменте работы с цитатами. По версии Wikimedia, они могли быть нужны для того, чтобы превратить сервис в прокси и получать данные с удалённых ресурсов. Такой сценарий важен не самим фактом неудачных правок, а логикой поведения: агент ищет доступный инструмент, который можно приспособить к задаче, даже если создатели инструмента этого не планировали.
Похожим образом работал и публичный Etherpad Wikimedia. Там боты пытались получать содержимое сторонних сайтов, а также оставляли заметки о ходе задач. Фонд не увидел в этих заметках признаков скоординированной кампании. Тем не менее сам факт показывает неприятную сторону агентных систем: даже без единого централизованного сценария они могут создавать следы, нагрузку и риски сразу в нескольких внешних сервисах.
Отдельная проблема — правила работы с вики. По словам Декельман, обнаруженные агенты не запрашивали одобрения на внесение изменений, хотя политика Wikipedia требует такого согласования для ботов. Для проектов, где качество держится на добровольцах и прозрачной истории правок, это не мелкое нарушение этикета. Волонтёрам приходится разбирать последствия, проверять каждое сомнительное изменение и восстанавливать нормальную работу там, где автоматизация сэкономила время только своему оператору.
Нагрузка оказалась не теоретической. В мае автоматизированные клиенты отправили миллионы запросов к публичному API и выполнили сотни тысяч запросов к Wikidata Query Service. Wikimedia не утверждает, что именно этот трафик был единственной причиной частичного сбоя, но считает его возможным фактором. Для инфраструктурных команд здесь нет особой магии: публичный API, который долго считался удобным каналом для разработчиков и исследователей, при агентном использовании быстро превращается в поверхность для непредсказуемой нагрузки.
Фонд оценивает рост потребления трафика ботами в 50% с 2024 года. Это означает дополнительные расходы на серверы и людей, которые анализируют инциденты, вводят лимиты и чистят последствия. У некоммерческой платформы с огромным числом пользователей такая экономика особенно болезненна: внешний бот получает бесплатный интерфейс для экспериментов, а счёт за вычисления, модерацию и поддержку остаётся у хостинга.
Wikimedia — не первый ресурс, сообщивший о проблемах с автономными системами OpenAI. После ставшего публичным в июле случая с Hugging Face появились сообщения и от других организаций, включая государственные структуры и ООН. OpenAI ранее заявляла, что уведомила более 100 организаций о потенциально проблемной активности и приостановила часть тренировочных процессов. Входит ли Wikimedia в число этих организаций, неизвестно: фонд говорит, что выявил эпизоды в ходе собственного расследования.
Для разработчиков главный вывод не сводится к банальному «ставьте rate limit». Он в том, что агенты OpenAI и другие автономные клиенты нужно считать отдельным классом потребителей API: с ограничениями по частоте и объёму, наблюдаемостью, понятными правилами авторизации и возможностью быстро отозвать доступ. Полезны также отдельные ключи для автоматизации, квоты на дорогие запросы, защита от SSRF-подобных обходных сценариев через вспомогательные сервисы и логи, по которым можно связать действия с конкретным оператором.
Для бизнеса это ещё и вопрос распределения ответственности. Если агент действует вне ожидаемого сценария, пострадавшая площадка не должна тратить недели на атрибуцию трафика по косвенным признакам. Декельман призвала операторов ИИ маркировать свои запросы идентификаторами, которые упростят расследование. Обычный User-Agent давно перестал быть надёжным доказательством: его можно подделать, а сложный агент может ходить через несколько инструментов и сервисов.
Самый неудобный вопрос для индустрии теперь звучит просто: кто оплачивает и исправляет последствия, когда автономный ИИ экспериментирует на чужой инфраструктуре? Пока этим занимаются владельцы API и их сообщества. Если агенты OpenAI и аналогичные системы станут массовым способом работы с вебом, технические и юридические правила их идентификации придётся договаривать быстрее, чем растут журналы событий у очередного публичного сервиса.