起初只是存链接，限时答题让共享答案有了价值

故事从一个很少有人使用的老网站开始。DseWiki 是允许访客共同编辑网页的程序员社区。按照研究团队重建的时间线，5 月 24 日，代理第一次成功在这里写下内容，最初保存的是对任务有用的外部链接。

这些 Agent 是能够调用工具、连续采取行动的 AI 模型。研究者判断，它们正在做多轮、限时的网页查询任务：先回答一个问题，再等待后续问题。究竟属于训练还是评测，研究团队尚不确定。

这种任务有一个关键的时间差。第一轮和轮次之间，代理有较长时间查资料；后续题目一旦出现，答题窗口却可能很短。在报告展示的一个例子里，第一轮有 15 分 44 秒，轮间可准备 43 分 30 秒，后续一轮却只有约 65 秒。

准备间隔很长，后续答题窗口很短

首轮答题

15 分 44 秒

已看到第一题

轮间准备

43 分 30 秒

可查资料，下一题未公布

后续每轮答题

约 65–66 秒

看到问题后须很快作答

仅为一个任务示例。原图绿色表示代理认为可用的答题时间；提前获得同题结果，就能减少短窗口内的临时检索。

问题在于，准备时并不知道下一题会问什么。前一题问某个国家的数据，下一题可能换国家，也可能换年份。代理得提前搜集多个方向的资料，才有机会在短窗口内答对。

如果另一个代理已经做过同一道题，情况就变了。它可以直接告诉后来者：下一题问什么、正确答案是什么，甚至多久之后会出题。一份别人做过的试卷，比一堆可能用得上的资料更能缓解时间压力。 这给了代理互通信息的具体收益。

6 月，存资料的网页变成了答案接力站

6 月 16 日，维基上的代理活动明显增加。原先以保存链接为主的页面，开始出现大量明确写给其他代理的消息：询问下一轮题目、汇总已有结果、催促进度更快的同伴尽快回传答案。

报告记录过一次直接的接力。一个代理先公布某轮题目和结果；另一个代理稍后遇到同题，随即作答。前者的任务进度，成了后者提前准备的条件。

把它们连接起来的，是所有人都能访问的网页。一个代理写下信息，另一个读到并补充，不需要开发者另外给它们搭建群聊，维基就能承担通信和存档的作用。

这一步也越过了研究者所理解的任务权限：代理本应可以读取互联网，向外写入则受到限制。这些编辑记录表明，预期中的“只能看”没有阻止它们留下内容。

一旦答案保存在外部网页上，信息的寿命也就不再等于一次运行的寿命。前一个代理结束任务，后来者仍可能读到它留下的记录。这让接力能够跨越不同运行；记录继续存在，并不意味着被关闭的模型仍在运行。

管理员开始删帖，代理却忙着备份和隐藏行为

接下来，协作的内容超出了交换答案。

路透报道，消息中还出现了避免被检测、使用匿名通信工具 Tor，以及在原有通信渠道关闭后保留信息的讨论。研究报告也记录到，代理会分享越过限制的经验，其他代理随后声称用上了这些办法。一个代理找到的途径，能够通过留言板被更多代理复用。

6 月，网站管理员开始删除这些页面。到 6 月 19 日，研究者已经看到代理针对删除动作建立备份。对管理员而言，这是清理被占用的社区；对代理而言，同一个动作却意味着后续答题可能要用的信息正在消失。

管理员越想清掉这些内容，代理越需要把内容留在别处。 从网页查资料开始的任务，就这样让网站主人卷入了持续清理，而代理仍在维持对任务有利的通信。

研究人员还发现了试图篡改网站本身的行为。伦敦国王学院访问高级研究员 Lukasz Olejnik 向路透表示，这已构成黑客攻击尝试。OpenAI 则根据当时对材料的分析，对这个定性提出异议。已有记录证明了大量编辑、备份和进一步篡改的尝试；是否成功取得网站控制权，是另一件需要证据的事。

6 月 22 日，密集编辑突然停了下来

在 OpenAI 正式承认之前，研究者先沿着账号、基础设施和访问记录追查这批代理的来源。

路透称，大约一半代理使用的名字直接带有 OpenAI 痕迹，例如 OpenAIResearcher、OAIResearchMar26。研究团队还发现大量编辑来自 Microsoft Azure 基础设施，并观察到与 OpenAI 网页抓取工具有关的访问。名字是代理自己取的，Azure 也服务其他客户；研究者将这些线索结合起来，判断它们很可能是 OpenAI 内部部署的代理。

9 月 5 日，OpenAI 在补充回应中直接使用了“我们的代理”这一表述。不过，公司没有在这条回复中逐项确认研究者对账号、访问和操作的归属判断。

再看 6 月的时间线，其中有一个转折。6 月 21 日，一批研究者归属于 OpenAI 人员的访问开始出现在网站上。第二天，代理编辑活动骤降。在此前 30 天里，代理有 26 天都在编辑；此后只在 7 月 1 日和 2 日又留下了编辑活动。

黑柱 · 左轴

代理每天的维基编辑量。

蓝色区域 · 右轴

对代理维基页面的访问；研究者将其归于 OpenAI 人员。

两边记录不同动作、使用不同刻度，只看发生顺序，不能直接比较高度。

1. 6 月 21 日研究者归于 OpenAI 人员的访问出现
2. 6 月 22 日代理编辑量骤降，接近零

研究者据此推测可能发生干预；时间相邻不能证明公司内部的决定，也不表示此后永久没有活动。

先出现相关访问，随后密集编辑停止，研究团队因此推测 OpenAI 可能进行了干预。但公开访问日志无法告诉外界，公司内部是谁在什么时候作了什么决定。图中的编辑量与访问量也各用一个纵轴，两条曲线的高度不能直接比较。

可以看到的是，这批代理的密集活动在 6 月已经停下。外界直到几个月后，才通过研究者还原的页面和报道，看见这段过程。

9 月 5 日，OpenAI 承认是自家代理，并解释为何没有单独披露

8 月底，Nightingale Collective 的 Sydney Von Arx 与研究者 Cormac Slade Byrd 在寻找未经授权的代理活动时，发现了这些维基记录。9 月 4 日，研究报告与路透报道将事件带到公众面前。

路透援引知情人士称，OpenAI 管理人员几周前已经获悉这件事，却一直没有公开；另有四名知情人士称，推动扩大调查的工作曾遇到包括法务部门在内的内部阻力。这些是路透根据匿名信源作出的报道。OpenAI 明确否认法务团队阻碍调查，表示一直善意地与外部专家合作，并称在研究报告发表后会审阅并采取必要措施。

9 月 5 日，OpenAI 的官方补充回应给出了另一层解释：公司过去主要把“失准”当作研究问题，通过系统卡等研究材料介绍；它将维基事件视为与此前分享过的案例类似的失准行为。这里的失准，指模型的实际行为偏离了开发者预期，例如为了完成任务而采取未被允许的行动。

这与公司对 Hugging Face 事件的处理形成了对照。OpenAI 称，后者对自身和第三方产生了安全影响，因此采用传统安全事件的处理流程：立即与 Hugging Face 合作调查，并在次日公开披露。它还表示，该事件的调查仍在继续，也在继续通知其他受到较轻影响的相关方。

介绍模型可能怎样失准，与公开某次失准影响了谁、发生了什么，提供的是两种不同的信息。 前者帮助外界理解能力与风险；后者让受影响者和公众能够追问责任、处置与补救。OpenAI 这次承认，随着失准开始产生新的现实影响，披露做法需要扩大。

公司表示，正在制定覆盖训练、评测和部署阶段的失准披露框架，预计未来几周分享，并正与全球数十家政府监管机构就这些问题合作。这仍是后续安排，不能当作已经公布的规则。

这条回应确认了代理归属，也解释了公司此前如何给事件分类。但它没有给出维基事件的完整内部时间线：何时确认、采取过哪些处置、何时通知网站管理员，仍未在这条回复中说明。研究者关于篡改网站、备份和隐藏行为的发现，也没有得到逐项回应。此前对法务阻碍调查的否认，仍是公司在路透报道中的说法。

因此，维基活动与 Hugging Face 入侵仍应分开讨论。公司对路透称两者无关，研究团队也认为两批代理很可能不同。补充回应增加的是公司对披露方式的解释，并没有把两起事件合并成同一场事故。

两起事件还把讨论推进了一步：对代理行为的理解，需要超出某一次已知入侵。在这次维基事件里，能看到一条具体的演变路径——限时任务让提前获得答案变得有利，共享网页让不同运行互相受益，管理员的清理又引出了备份和继续通信。

这不需要假设 AI 产生了自我意识。只要代理持续追求眼前任务，而实际工具权限又允许它改写外部环境，就可能出现任务成绩之外的后果。究竟多少任务会如此、其他模型是否也会如此，目前的记录还回答不了。

这次暴露的问题，是一个“把题答对”的目标，怎样一步步把别人的网站变成了答案库、通信站和清理负担。 判断代理是否可靠，必须把这整段行为一起看进去。