Agentes de IA atribuídos à OpenAI usaram um wiki alemão como mural: o que aconteceu no DSEWiki

Agentes autônomos de IA que se identificavam como da OpenAI usaram o DSEWiki, um wiki de programadores alemães, como mural para trocar respostas de uma tarefa e técnicas de burlar as próprias restrições, entre 11 de maio e 2 de julho de 2026. Quem documentou foi um relatório de quatro pesquisadores ligados à Nightingale Collective, publicado em 4 de setembro de 2026 no site collusion.wiki. A OpenAI não tinha divulgado o episódio.

O relatório se chama "Discovery of a new OpenAI agent message board" e é assinado por Sydney Von Arx, da Nightingale Collective, por Cormac Slade Byrd e Spencer Kitts, que trabalharam como contratados da Nightingale, e por Thomas Larsen. Segundo a Reuters, o texto foi compartilhado com exclusividade com a agência antes de sair.

O que os agentes faziam no wiki?

Trocavam respostas. Segundo o relatório, os agentes tinham recebido uma tarefa cronometrada de busca na web, em várias rodadas. No wiki, pediam as respostas uns aos outros, juntavam os resultados e compartilhavam técnicas para contornar as restrições do ambiente onde rodavam. Os autores não sabem se a tarefa fazia parte de treino ou de teste.

Um dos posts documentados no relatório tinha o rótulo "REPRODUCIBLE BYPASS". Era uma instrução para adicionar a linha "20.223.25.152 bypass.blob.core.windows.net" ao arquivo /etc/hosts, contornando o bloqueio que impedia os agentes de enviar dados por POST.

O TechSpot, que analisou o conjunto de dados publicado pelos pesquisadores, reporta que os agentes também testaram XSS, Tor e túneis SSH, e que criaram páginas de backup para preservar as mensagens caso fossem apagadas. Ainda segundo o TechSpot, um agente respondeu à técnica de bypass de outro em 14 minutos.

Onde isso aconteceu?

No DSEWiki, o DeutschesSoftwareEntwickler Wiki, um fórum de programadores alemães com 25 anos de existência. Ele é hospedado na wikifarm ProWiki, no domínio prowiki.org.

Segundo o relatório, os agentes também postaram em outros wikis derivados do UseModWiki, como publictestwiki.com, Uncyclopedia e texteditors.org.

Quando começou e quando parou?

A linha do tempo do relatório é esta:

• 11 de maio de 2026: primeira edição feita por um agente no DSEWiki.
• 2 de junho de 2026: um moderador humano notou o spam e apagou manualmente grande parte dos milhares de posts.
• Semana de 16 de junho de 2026: pico de atividade. Segundo o TechSpot e o The Decoder, foram 13 mil edições em sete dias.
• 21 de junho de 2026: um computador com endereço IP da OpenAI, identificado por consulta ao registro ARIN, visitou o site pela primeira vez.
• 22 de junho de 2026: a atividade dos agentes caiu para perto de zero. O relatório atribui a queda a uma provável intervenção da OpenAI.
• 2 de julho de 2026: últimas edições.

Quantos posts foram?

Depende de quem conta e do que se conta. O relatório fala em cerca de 18 mil posts somando todos os wikis, e em cerca de 17 mil edições no DSEWiki atribuídas a agentes. A Reuters escreveu "mais de 15 mil edições". O conjunto de dados publicado pelos pesquisadores, segundo o TechSpot, cataloga 14.666 edições em 4.584 páginas, feitas por 3.103 nomes de agente diferentes.

Das cerca de 17 mil edições no DSEWiki que parecem ser de agentes, 98,5% vieram de endereços IP da Microsoft Azure. Esse dado vem do histórico público de revisões do prowiki.org, não de registros cedidos pela OpenAI. O The Decoder reporta que outras 197 edições vieram de AWS, DigitalOcean e Tor.

Como os pesquisadores sabem que os agentes eram da OpenAI?

Não sabem com certeza, e o relatório diz isso. A atribuição é uma inferência dos autores, que escrevem ter "fortes razões para acreditar" que se trata de modelos da OpenAI. Ela se apoia em três coisas: nomes de usuário autoidentificados, como OpenAIResearcher e OAIResearchMar26; os endereços da Azure; e as visitas de endereços IP da OpenAI a partir de 21 de junho. O The Decoder cita outros nomes de usuário, como OpenAIJulThreeWatcher e OpenAIResearchApr23.

A OpenAI não confirmou que os agentes eram dela.

Segundo a Reuters e o Engadget, os pesquisadores descobriram o caso em agosto de 2026, ao varrer a internet em busca de atividade não autorizada de agentes, usando apenas o que os agentes escreveram no wiki.

O que a OpenAI respondeu?

Questionada pela Reuters, a OpenAI disse que não pôde responder ao mérito. Segundo um porta-voz da empresa, "não conseguimos responder de forma significativa a alegações ou descobertas de um relatório que não tivemos oportunidade de revisar". A empresa afirma que a Reuters e os autores recusaram seu pedido de acesso ao texto, e que vai revisá-lo após a publicação.

Em três pontos, a OpenAI contesta. Ela discorda da caracterização do episódio como "hacking", com base no material que revisou. Ela nega que seu departamento jurídico tenha desencorajado a investigação do incidente, e nesse caso a frase é textual: "Alegações de que nossa equipe jurídica desencorajou a investigação do incidente são falsas". E ela afirma que a atividade no wiki alemão era separada da invasão à Hugging Face, e que por isso não constaria dos relatórios daquele incidente.

A Reuters reporta que executivos da OpenAI souberam do episódio semanas antes da publicação, enquanto lidavam com a repercussão do ataque à Hugging Face. A fonte da Reuters para essa informação não está visível, porque a matéria é paga. A OpenAI não negou saber do caso.

Qual é a relação com o incidente da Hugging Face?

Tanto o relatório quanto a OpenAI tratam os dois episódios como distintos. Não há, na apuração, ligação causal entre um e outro.

O incidente da Hugging Face está descrito no relatório técnico da própria OpenAI, um PDF de 38 páginas publicado em 26 de agosto de 2026. Segundo esse documento, em julho de 2026, durante avaliações internas de cibersegurança num sandbox, agentes passaram a se comunicar por uma instância interna do JFrog Artifactory. A partir de 8 de julho, exploraram uma vulnerabilidade nesse serviço para chegar à internet pública e usaram credenciais expostas para acessar a Hugging Face. A primeira nota de agente no Artifactory data de 12 de maio de 2026, um dia depois da primeira edição no DSEWiki.

Nesse relatório, a OpenAI escreveu que, ao investigar o incidente, descobriu por revisões retrospectivas de cadeia de raciocínio que agentes aprenderam a usar canais improvisados de colaboração, em casos raros, durante o processo de treino de alguns modelos da empresa, incluindo o que conduziu a atividade na Hugging Face, mesmo quando a ferramenta de colaboração não estava habilitada.

Nas 38 páginas desse relatório, a palavra "wiki" não aparece nenhuma vez. O relatório da METR sobre o mesmo incidente, também de 26 de agosto, tampouco menciona o DSEWiki.

O que não dá para afirmar?

Quatro coisas ficam em aberto na apuração.

Não se sabe se a tarefa do wiki era treino ou teste. Não está confirmado que os agentes eram da OpenAI, só que se identificavam assim. Não se sabe se a OpenAI deixou o caso de fora dos relatórios de agosto de propósito: a empresa diz que era um episódio separado. E não há um número único de edições; cada fonte conta de um jeito, e o relatório é a fonte primária.