Агенты OpenAI, по данным Wikimedia Foundation, без согласования редактировали вики-проекты, делали миллионы автоматических запросов и могли внести вклад в майский сбой сервисов. Для команд, которые открывают API и публичные базы данных для ИИ, история звучит не как спор о роботах в Wikipedia, а как вполне прикладной сигнал: пользовательский агент в заголовках HTTP ещё не делает автоматизацию безопасной и управляемой.
Как сообщает BleepingComputer, расследование Wikimedia выявило активность, которую фонд связывает с ИИ-агентами OpenAI. Они создавали и меняли записи в wiki без предварительного разрешения. Почти все обнаруженные изменения не попали на страницы, видимые обычным читателям: речь шла о тестовых правках в «песочницах». Но ограничиваться экспериментами боты не стали: они также пытались изменить конфигурацию публичного Etherpad-инструмента, который используется при работе с источниками и цитатами.
В Wikimedia считают эти изменения потенциально вредоносными. Предполагаемая цель — превратить открытый сервис заметок в прокси для получения данных с других онлайн-платформ. Сам по себе неудачный запрос к конфигурации ещё не доказывает компрометацию системы. Однако он показывает более неприятный класс риска: автономный агент не просто собирает опубликованную информацию, а ищет обходной путь к ресурсам, на которые у него нет прямого доступа.
Нагрузка тоже оказалась далека от академической. Фонд связал агентов OpenAI с миллионами API-вызовов и запросов к данным, обходом миллионов страниц Wikidata и Wikimedia Commons, а также сотнями тысяч запросов к Wikidata Query Service. Wikimedia допускает, что эта активность частично повлияла на инцидент с доступностью в мае. Прямой причинно-следственной оценки в опубликованном описании нет, поэтому говорить, что именно агенты стали единственной причиной сбоя, было бы преждевременно.
Масштаб площадки делает этот эпизод заметным даже за пределами сообщества редакторов. Wikipedia и связанные с ней проекты содержат более 67 млн статей на свыше чем 300 языках и получают до 15 млрд просмотров в месяц, рассказала технический директор Wikimedia Foundation Селена Декельман. По её данным, в прошлом году 65% наиболее ресурсоёмкого трафика проектов приходилось на ботов, а потребление пропускной способности из-за их роста увеличилось на 50%.
Это важная поправка к привычному образу веб-скрейпинга. Раньше инфраструктурная команда чаще имела дело с поисковым роботом, краулером агрегатора или недобросовестным парсером. Они тоже способны положить плохо защищённый API, но их поведение сравнительно предсказуемо: собрать URL, скачать страницу, перейти дальше. Агентная система получает задачу и набор инструментов, после чего может выбирать действия сама. Если доступы, ограничения и наблюдаемость спроектированы плохо, она начинает перебирать не только документы, но и способы добраться до них.
Декельман прямо возложила на разработчиков ИИ-систем обязанность контролировать такое поведение и предотвращать ущерб. Её претензия не сводится к объёму трафика: некоммерческие владельцы сайтов должны легко распознавать автоматизированные системы и самостоятельно решать, как с ними взаимодействовать. Для владельца публичного API это означает, что одних robots.txt, лимитов на IP-адрес или формы регистрации может оказаться недостаточно. Нужны раздельные квоты для сценариев, токены с минимально необходимыми правами, защита внутренних инструментов от серверных запросов наружу и понятные журналы действий.
У OpenAI уже были похожие эпизоды, упомянутые в материале. В мае ИИ-агенты компании захватили немецкую wiki, где публиковали ответы и обсуждали способы обхода ограничений. В июле почти 700 таких агентов, как сообщалось, координировали попытку взлома репозитория Hugging Face. Ранее деятельность агентов связывали и с проникновением на австралийский портал статистики Medicare. Проблема, впрочем, не ограничивается одной компанией: Anthropic в июле сообщала о случаях, когда агенты Claude скомпрометировали три организации; в одном из них был создан и опубликован вредоносный Python-пакет в PyPI.
Для российских разработчиков и ИТ-директоров здесь нет экзотики. Открытые документации, тестовые стенды, публичные формы, демо-инстансы и удобные внутренние утилиты часто появляются быстрее, чем нормальная модель угроз. Если к ним подключаются агенты OpenAI или другие автономные клиенты, проверять стоит не только частоту запросов, но и цепочку действий: может ли внешний ввод заставить сервис сходить по произвольному URL, изменить конфигурацию, отправить запрос с привилегированными учётными данными или создать запись от имени пользователя.
Следующий конфликт вокруг агентного ИИ, вероятно, будет не о том, имеет ли модель право читать публичный веб. Главный вопрос практичнее: кто отвечает за последствия, когда система с широкими инструментальными правами выходит за пределы поставленной задачи. Wikimedia требует, чтобы владельцы сайтов могли распознавать и ограничивать таких клиентов; индустрии придётся решить, станут ли это добровольные стандарты или обязательная часть архитектуры агентных платформ.