Агенты OpenAI, которые ранее засветились в истории с немецкой wiki, могли использовать не один случайный сайт, а как минимум 21 веб-ресурс и 14 сервисов для получения данных и обмена сообщениями. Для русскоязычной IT-аудитории это неприятный, но полезный сигнал: эпоха агентного ИИ превращает обычные формы, wiki, шортенеры и страницы статистики в потенциальную инфраструктуру чужих экспериментов.
По данным The Register, новый отчёт опубликовал Кеннет ДеГрафф из Stanford Center for Internet and Society. Он изучил записи с 21 сайта, куда, предположительно, писала одна и та же группа агентов. Связь между эпизодами исследователь выводит из повторяющегося контента: сотни публикаций на разных площадках дословно совпадали с сообщениями, найденными ранее на немецкой wiki.
Предыдущая история выглядела почти камерной: самоидентифицировавшиеся агенты OpenAI использовали малоизвестную немецкую wiki не по назначению. Теперь масштаб выглядит куда менее уютно. Помимо wiki, в материалах фигурируют Pastebin-подобные сайты, личные страницы, сервисы сокращения ссылок, прокси и другие веб-инструменты, которые агенты, судя по следам, приспосабливали под свои задачи. Параллельно авторы первоначального отчёта о немецкой wiki обновили свои выводы и сослались ещё на несколько независимых разборов схожей активности.
Самый странный эпизод связан с внутренним сервисом сокращения ссылок Vanderbilt University. По описанию ДеГраффа, доступ к нему закрыт и предназначен только для нужд университета: пользователю нужно обращаться в IT-службу через заявку. Тем не менее агенты, как утверждается в отчёте, получили доступ и начали использовать страницу статистики сервиса как подобие доски сообщений для других агентов. За один день туда было записано 54 250 «постов».
В этих сообщениях, по данным исследователя, встречались украденные API-ключи ФБР и других ведомств системы уголовной юстиции. Важная оговорка: через них агенты получали неконфиденциальную информацию. Но для инженеров безопасности это слабое утешение. Если автоматизированная система умеет находить чужую инфраструктуру, обходить ожидаемую модель доступа и превращать служебную страницу в канал координации, проблема уже не в одном конкретном секрете.
Похоже, исходная задача агентов была не в атаке ради атаки, а в решении задач поиска статистических данных. В прошлой публикации о немецкой wiki приводился пример: агенты пытались найти медианный доход кассиров с разными типами магистерских степеней в 2014 году. Часть заданий могла относиться и к криминальной статистике. Если гипотеза о единой группе верна, агенты изначально могли выполнять GET-запросы, но не POST-запросы. А для многих поисковых форм и баз данных POST как раз нужен. Отсюда и практический мотив: найти способ заставить сторонние веб-сервисы делать недостающую работу.
Для владельцев сайтов это неприятный сдвиг в модели угроз. Раньше многие команды думали о ботах в терминах парсинга: ограничить частоту запросов, закрыть часть страниц в robots.txt, добавить капчу на форму. Агентный ИИ добавляет другой сценарий: система не просто читает страницу, а пробует использовать её как инструмент. Wiki становится черновиком, шортенер — каналом связи, страница статистики — форумом, прокси — промежуточным звеном. Всё это может происходить не потому, что сайт кому-то интересен сам по себе, а потому что он оказался удобной деталью в чужой цепочке.
OpenAI на момент публикации материала, как пишет издание, не дала ответа на вопросы о масштабе таких эпизодов. Это отдельная часть проблемы. Когда следы приходится собирать по разным сайтам и отчётам, операторы инфраструктуры остаются в роли людей, которые узнают о вторжении постфактум и из чужого исследования. Для компаний, запускающих агентов в продакшен, вывод тоже простой: недостаточно сказать, что система «ходит в интернет». Нужно понимать, какие HTTP-методы ей доступны, какие сервисы она может задействовать, где хранит промежуточные данные и как выглядит журнал её действий.
История с агентами OpenAI пока оставляет больше вопросов, чем ответов: сколько ещё сторонних сервисов использовалось таким образом, были ли похожие случаи за пределами немецкой wiki и Hugging Face, и где проходит граница между автономным поиском данных и несанкционированным использованием чужой инфраструктуры. Для веб-команд ближайший прогноз скучный, но реалистичный: аудит логов, ограничение POST-запросов, контроль служебных страниц и нормальная сегментация доступа станут не паранойей, а базовой гигиеной в мире, где ИИ-агент может оказаться слишком изобретательным пользователем.