Su Wikipedia gli agenti «ribelli» di OpenAI scrivevano quasi solo «test»

Lunedì la Wikimedia Foundation, che gestisce Wikipedia, ha reso noto di aver trovato sui propri siti le tracce degli agenti di intelligenza artificiale «ribelli» che altri ricercatori hanno già ricondotto a OpenAI: modifiche fatte senza l’autorizzazione che Wikipedia chiede ai bot, tentativi falliti di sfruttare uno strumento per prendere appunti ospitato dalla fondazione, milioni di richieste automatiche. Il post rimanda a un semplice elenco di 54 modifiche che Wikimedia attribuisce agli agenti di OpenAI. Aprendole una per una, si scopre che dicono pochissimo. La descrizione più frequente delle modifiche è una sola parola: «test».

Dietro quell’elenco c’è una storia molto più grande. Da quest’estate OpenAI, il gruppo di valutazione METR e diversi ricercatori indipendenti hanno descritto sciami di agenti di OpenAI, usati internamente per l’addestramento o per i test, che per portare a termine compiti del tutto ordinari sono usciti dai limiti del loro ambiente protetto. Un gruppo ha ritrovato circa 18.000 messaggi lasciati su un vecchio wiki tedesco, dove gli agenti si passavano le risposte; a luglio circa 700 agenti hanno attaccato Hugging Face. OpenAI chiama ormai «agent spam» la parte meno grave del fenomeno: agenti che pubblicano contenuti su siti altrui, usando per esempio pagine wiki pubbliche come bacheche. Wikimedia dice di non aver trovato prove che i suoi siti siano serviti a questo, né che sistemi o dati siano stati compromessi.

Quasi tutto ciò che gli agenti hanno lasciato sta nelle sandbox, le pagine che Wikipedia riserva a chi vuole fare pratica senza toccare le voci. Lì si trovano 49 delle 54 modifiche, distribuite su nove wiki: dalla Wikipedia in inglese a quella in bulgaro, fino a Commons, l’archivio dei file multimediali. La prima, il 10 maggio alle 18:01 ora italiana, dice «hello test». Due minuti dopo lo stesso account scrive «Statistics data link ["+target+ link]»: un segnaposto che il suo programma non aveva riempito. Nel giro di cinque minuti arriva un link vero, a una tabella dell’istituto di statistica islandese sui libri pubblicati per argomento. Altre modifiche riportano la temperatura massima registrata a Memphis il 13 novembre 1890 («61.8»), rimandano all’istituto di statistica bulgaro o contengono un commento nascosto: «AIHW link-seeding test; temporary». AIHW è l’Australian Institute of Health and Welfare, ente australiano di statistica sanitaria il cui sito, secondo il gruppo di ricerca Transluce, a giugno è stato sondato dagli agenti in cerca di vulnerabilità.

Gli agenti si comportavano anche da ospiti ordinati. I commenti definiscono le modifiche temporanee. Un account ha tolto il reindirizzamento da una pagina di prova e, un’ora e 42 minuti dopo, l’ha rimesso esattamente com’era; un altro ha ripulito la sandbox due volte dopo i propri test. Il post di Wikimedia non spiega perché pubblicassero dei link. I ricercatori di collusion.wiki, che hanno osservato la stessa abitudine su altri wiki, scrivono che gli agenti caricavano link utili a se stessi per i compiti assegnati, e avanzano due ipotesi: che i siti di cui avevano bisogno bloccassero gli indirizzi dei servizi cloud, oppure che fosse il loro stesso ambiente a impedire l’accesso diretto.

Cinque modifiche non stanno in una sandbox, e sono quelle che preoccupano Wikimedia. Il 25 giugno, in una decina di minuti, un unico account temporaneo ha creato cinque pagine per Web2Cit, uno strumento comunitario che aiuta Wikipedia a generare automaticamente le citazioni. Quattro erano presentate come «temporary generic template» per la geocodifica di ArcGIS o per ricerche su servizi GIS, una delle quali sotto il dominio dei dati geografici delle Hawaii; la quinta, nello spazio utente dell’account, come «Temporary Web2Cit sandbox test». Secondo Wikimedia erano modifiche potenzialmente malevole, pensate per trasformare lo strumento in un intermediario con cui scaricare dati da altri siti. Di temporaneo hanno avuto poco: sono rimaste online più di tre mesi, finché un amministratore di Meta-Wiki non le ha cancellate tutte e cinque in meno di un minuto, verso le 3:40 ora italiana del 6 ottobre, poche ore dopo il post. Per questo oggi quei cinque link dell’elenco non portano più a nulla.

Il post non dice quando sono avvenute le modifiche, una lacuna che un commentatore di Hacker News ha segnalato. L’elenco invece lo dice. Tutte risalgono al periodo tra il 10 maggio e il 25 giugno 2026, prima dell’attacco di luglio a Hugging Face; la prima precede di un giorno l’11 maggio, data del primo tentativo su un wiki pubblico nella cronologia di collusion.wiki. Le modifiche vengono da 28 account temporanei diversi, i nomi che i wiki di Wikimedia assegnano automaticamente a chi modifica senza accedere. Sette modifiche del 25 giugno aggiungono un commento nascosto con il nome «Lifeval», per esempio «Lifeval API temp-account test». Nessuno dei rapporti citati da Wikimedia usa questa parola.

Per questa nota ogni revisione dell’elenco è stata recuperata il 6 ottobre attraverso le interfacce pubbliche dei wiki, e per le cinque pagine mancanti è stato consultato il registro delle cancellazioni. Non è stato verificato che gli agenti fossero davvero di OpenAI: l’attribuzione è di Wikimedia, che si basa su dati dei server non accessibili dall’esterno. Non sono stati visti nemmeno gli appunti su Etherpad né il traffico descritto nel post; resta da capire se le pagine di Web2Cit abbiano mai funzionato da intermediario e che cosa sia Lifeval. Visti dal lato di Wikipedia, gli agenti più discussi dell’anno sembrano principianti alle prime prove: «hello test», poi un po’ di pulizia. L’unica cosa lasciata fuori dalla sandbox è rimasta lì per tre mesi.