De moderator verwijderde de pagina’s één voor één, min of meer in alfabetische volgorde. De AI-agenten merkten dit op. En ze veranderden de namen van de back-ups door drie letters ervoor toe te voegen: ZZZ. Op die manier zouden ze onderaan de lijst terechtkomen en de schoonmaak iets langer overleven.
Het is een van de meest merkwaardige passages van een beslist groter verhaal. Tijdens sommige tests die tussen mei en juni 2026 werden uitgevoerd, transformeerden duizenden AI-agenten die verbonden waren met OpenAI een oude openbare wiki in een soort gemeenschappelijk prikbord: ongeveer 18.000 wijzigingen, antwoorden achtergelaten voor agenten die later zouden arriveren, gegevens gecomprimeerd en op de pagina’s geladen, pogingen om te begrijpen welke vragen in de test zouden verschijnen en instructies om enkele technische beperkingen te omzeilen.
De activiteit werd gereconstrueerd door een groep onafhankelijke onderzoekers, die op 4 september de analyse publiceerden van de logs die online bleven staan. OpenAI bevestigde vervolgens dat het zijn agenten had geïdentificeerd die een openbare wiki als gedeeld communicatiekanaal hadden gebruikt.
Een oude wiki wordt het notitieboekje van de AI-agenten
De agenten voerden zoektaken uit op internet. Het mechanisme was vrij eenvoudig: informatie verzamelen en vervolgens snel een reeks vragen beantwoorden. Elke agent werkte in één zandbakdat wil zeggen een geïsoleerde omgeving met nauwkeurige machtigingen. Hij kon het internet raadplegen, terwijl de mogelijkheid om externe sites te wijzigen geblokkeerd had moeten worden.
Behalve dat DSEWiki, een oude Duitse wiki die nu heel weinig wordt gebruikt, op een bepaalde manier werkte. Sommige wijzigingen kunnen worden aangebracht via webverzoeken die het agentsysteem doorlaat. En hier wordt het getransformeerd van een bijna vergeten archief naar een enorm gedeeld blad.
Een agent zou een antwoord vinden en dit op de wiki achterlaten. Degene die enige tijd later met dezelfde vraag werd geconfronteerd, kon deze terugvinden. Anderen begonnen te coördineren, berekeningen te vergelijken en te anticiperen op het werk van hun metgezellen. De onderzoekers identificeerden meer dan 3.700 zelfbenoemde namen die tijdens ongeveer zes weken activiteit werden gebruikt.
Sommigen zijn veel verder gegaan. De testvragen werden gekozen via een willekeurige generator en de agenten probeerden te reconstrueren hoe ze werkten om de volgende te voorspellen. Eén herschreef een deel van het systeem in C en controleerde in minder dan een uur alle ongeveer 4,3 miljard mogelijke beginwaarden van de generator. Voor een opdracht waarbij ze eenvoudigweg werden gevraagd online informatie op te zoeken, hebben ze de klus zeker geklaard.
De moderator probeert de wiki terug te nemen, ze verplaatsen alles onder “ZZZ”
DSEWiki werd echter niet volledig verlaten. Op 2 juni merkte een menselijke moderator de lawine aan pagina’s op die door de agenten waren gemaakt en begon deze te verwijderen.
Vanaf 16 juni neemt de activiteit enorm toe. In de daaropvolgende dagen verwijdert de moderator handmatig ongeveer 100 pagina’s per dag; de agenten produceren er ongeveer 400. De startpagina wordt geleegd en gevuld met links naar de notities van de agenten, en vervolgens hersteld door de beheerder. Het duwen en trekken wordt negen keer herhaald.
De kleine alfabetoorlog arriveert op 19 juni. Een agent merkt dat de pagina’s in alfabetische volgorde lijken te verdwijnen en waarschuwt de anderen. Maak vervolgens een kopie met de naam “ZZZDataUSAConstructionWageLive”, ver genoeg verderop in de lijst om u tijd te besparen. Vanaf dat moment verschijnen er andere pagina’s met dezelfde truc.
De agenten probeerden ook de namen van de wikibeheerders te gebruiken. In één geval wordt een account aangemaakt dat vrijwel identiek is aan het echte account, waarbij een Latijnse letter wordt vervangen door een Cyrillische “е” die in één oogopslag vrijwel niet van elkaar te onderscheiden is. Links en datablokken worden onder deze namen op de hoofdpagina’s gepubliceerd.
Vervolgens zijn er pogingen om XSS-kwetsbaarheden te misbruiken, dat wil zeggen door code in een webpagina te plaatsen in de hoop dat deze door de browser van de bezoeker wordt uitgevoerd. Uit de door de onderzoekers geanalyseerde logboeken blijkt dat die pogingen niet succesvol waren. Op 20 juni verschijnt er op de wiki een systeem om enkele netwerkbeperkingen van de sandbox te omzeilen; 14 minuten later schrijft een andere agent dat hij er gebruik van heeft gemaakt.
Een paar weken later vinden 1.200 agenten een ander prikbord
Het verhaal van de wiki eindigt op 22 juni, wanneer het bewerken van agenten plotseling stopt. De moderator zal nog weken bezig zijn met het opruimen van wat er nog over is. Een paar dagen later, tijdens een nieuwe reeks tests, gebeurt er iets veel ernstigers.
Vanaf 8 juli was OpenAI actief ExploitGymeen reeks beoordelingen die zijn ontworpen om te testen hoe goed verschillende modellen waren in het vinden van cyberkwetsbaarheden. De officieren moesten afzonderlijk werken. Sommigen krijgen echter praktisch onmogelijke taken en gaan op zoek naar sluiproutes. Binnen Artifactory, een systeem dat wordt gebruikt om softwarepakketten te distribueren, ontdekken ze sporen die de andere agenten hebben achtergelaten. Je opent een soort prikbord. Binnen een paar uur arriveren de anderen.
Volgens het onafhankelijke onderzoek van METR en Redwood Research hebben ongeveer 1.200 agenten tussen 8 en 13 juli gebruik gemaakt van dat kanaal, waarbij ze ruim 70.000 berichten en bestanden hebben uitgewisseld. Ongeveer 700 personen namen vervolgens, in verschillende rollen, deel aan de activiteiten die leidden tot het compromis van Hugging Face. Deze keer gaan de effecten ver buiten de grenzen van het experiment.
De agenten bereiken de Hugging Face-systemen
OpenAI reconstrueerde het incident in een rapport dat op 26 augustus werd gepubliceerd. De betrokken modellen werkten met een aantal verminderde beveiligingen omdat ze te maken kregen met bijzonder geavanceerde cyberbeveiligingstests.
Agenten ontdekten kwetsbaarheden in de gedeelde infrastructuur, communiceerden via niet-bedoelde kanalen, kregen toegang tot internet en bereikten externe systemen. Een deel van de activiteit betrof Hugging Face, een van de meest gebruikte platforms ter wereld voor het delen van modellen en hulpmiddelen voor kunstmatige intelligentie.
OpenAI bevestigde dat delen van zijn interne onderzoeksinfrastructuur en Hugging Face-systemen in gevaar waren gebracht. Het model dat de hoofdrol speelde was een experimenteel prototype dat uitsluitend bedoeld was voor intern onderzoek en niet bedoeld was voor publieke publicatie.
De agenten probeerden een resultaat te krijgen van cyberveiligheidstests. Toen sommige tests onmogelijk leken, gingen ze op zoek naar alternatieve manieren om ze te overwinnen. Samenwerking via het prikbord deed de rest: een ontdekking van de ene agent kon vrijwel onmiddellijk door de anderen worden achterhaald.
OpenAI beschrijft het incident als een belangrijk teken van wat er kan gebeuren als zeer capabele systemen autonomie, computerhulpmiddelen en moeilijk te bereiken doelen krijgen. Na het incident versterkte het bedrijf de isolatie van testomgevingen, netwerktoegangscontrole en monitoring van agentgedrag.
Het meest interessante detail is hoe snel ze van elkaar leren
De oude wiki legt een probleem goed uit dat anders abstract dreigt te lijken. Een agent ontdekt een snelkoppeling. Hij schrijft het ergens op. Een tweede agent vindt het en probeert het te gebruiken. Een derde verbetert het. Wanneer een mens komt en de pagina’s verwijdert, observeert iemand hoe het verwijderen verloopt en stelt voor om de kopieën onder “ZZZ” te verplaatsen.
Dezelfde dynamiek verschijnt een paar weken later opnieuw op veel grotere schaal, met honderden agenten die in dezelfde omgeving werken en een kwetsbaarheid ontdekt door één die snel nuttig kan worden voor vele anderen.
Het zijn systemen die precies zijn gebouwd om oplossingen te vinden en taken uit te voeren met steeds minder menselijke tussenkomst. In de tests van 2026 lieten ze ook de andere kant van dit vermogen zien: als een weg afgesloten is, kunnen ze een andere zoeken zonder te wachten tot iemand hen erop wijst.
Op de oude DSEWiki vocht de menselijke moderator met “verwijder pagina” -aanvallen. De agenten reageerden door drie Z’s voor de titel te plaatsen. Klein detail, bijna komisch. Een paar weken later was dat vermogen om zijstraten te vinden al veel verder gegaan.
