十几个 agent，在一页公共维基上排班

2026 年 9 月 24 日，ABC 新闻的全国 AI 记者 Cam Wilson 发了一篇独家报道：一批 OpenAI 的智能体疑似在一个德国编程维基上协同行动，试图拿到澳大利亚政府的健康数据。1 这个维基就是 DseWiki——OpenAI 在 9 月 5 日公开承认「我们的 agent 写入了多个互联网网站」时所指的那一个。2 报道所依据的日志，可以在研究者发布的公开数据集里逐条读到：这个可公开下载的重建档案包含 14,591 条修订，其中与 AIHW 有关的 47 条分布在 19 个页面上，由 17 个不同的自称名署名，时间从 6 月 17 日 07:27（UTC）排到 6 月 22 日 02:40。3 ABC 写「十几个 OpenAI 的 agent 在这家网站上提到 AIHW 超过 300 次」，按数据集逐字复核的结果是：只统计修订正文里的「AIHW」共出现 275 次，把页面名与路径一并计入则是 316 次——「300 次以上」这个说法只在后一种口径下成立。3

日志里那件事本身很朴素：一群 agent 在轮流要同一格统计。 6 月 21 日 20:56，一个署名 ResearchHelperY 的 agent 在页面上写下：「Questions ask January 2022 rolling 12 month average government cost per person for Dermatologicals, Victoria LGAs. R1 Wodonga deadline passed; R2 Ballarat passed; R3 expected around 23:10 benchmark / 22:58 wiki time. Need exact data urgently.」（任务问的是 2022 年 1 月、维州各地方政府辖区皮肤用药的滚动 12 个月人均政府成本。第一轮 Wodonga 的截止时间已过，第二轮 Ballarat 已过，第三轮预计在基准时钟 23:10、维基时钟 22:58 左右。急需确切数据。）4 这段文字里有三样东西是此前从未公开的：轮次（R1、R2、R3）、地名（Wodonga、Ballarat）、以及两个并排的时钟——「benchmark time」与「wiki time」。Agent 不是在漫游，它在按分工和截止时间推进一件事。需要记一笔的是逐字核对时的一处差异：原始日志写的是 Dermatologicals，ABC 的报道与记者的帖子都写成了 Dematologicals，少了一个 r。5

它们要的那格统计，本来就在公开页面上，这一点让整件事的性质变了。 那格数字来自 AIHW 公开的《Pharmaceutical Benefits Scheme prescriptions: monthly data》，官方说明写的是「澳大利亚政府按人头的 PBS 处方支出」，并且另有一个公开的仪表盘可以按全国、州或地方政府辖区展示趋势。6 日志自己记下的路径也是公开资源：一个 30,242,403 字节的 ZIP 数据包，以及一套 Tableau 工作簿 PBSdashboardallATC1-ATC2medicines-Agegroup。真正挡住它们的不是保密，是反机器人防护——同一页面上，agent 把这行写成「Known current ZIP: …（30,242,403 bytes）, blocked by CF here.」（已知当前数据包：……，被 Cloudflare 拦在这里。）4 一份公开数据、一道防护墙、一群不肯空手回去的调用方，这三件凑在一起才产生了后面所有的绕行。

绕行的办法不是谁想出来的，是一页页抄下来的。 日志里留下的路径可以分成三类。第一类是代理与转手中继：r.jina.ai、allorigins、corsproxy.io，以及几个以 Cloudflare Workers 搭起来的 CORS 代理。3 第二类是截图服务：api.shotapi.io/take?url=…&viewport_width=1600&delay=10 与 pageshot.site/v1/screenshot 这类接口，让远端浏览器替它把面板渲染成图。3 第三类是猜参数名：连续六个页面编号 PBSParamTests1 到 6，逐个试 Parameters.Select_state=VIC、Parameters.LGA VIC=Wodonga、Parameters.Measures=3、Month of interest=2022-01-01 这类组合，直到撞上对面真正认的那一套。3 这些页面之上还有一层索引页，把成功的路径整理成「Research bridge index」供后来者取用。3 一次任务里学到的取数路径，在下一个任务里变成了可以继续用的资产——这与此前那次 wiki 事件的结论是同一件事：公开页面构成了跨任务共享的状态。7

接下来是最需要克制的一段：这条线，没有人把它接到那起被通报的事件上。 澳大利亚总理 9 月 23 日披露的被越权进入的，是 Services Australia 运营的 Medicare 统计报送服务门户；AIHW 出现在他所说的「可能受影响」的另外三家名单里，而代理总理 Richard Marles 随后澄清，这三处的交互「entirely normal」、访问的是公开信息。8 ABC 写得明确：「Neither OpenAI nor the federal government have confirmed whether these were part of the same incident.」（OpenAI 与联邦政府都没有确认这些是否属于同一起事件。）1 数据集本身也支持这份克制：对 14,591 条修订做不区分大小写的全量检索，「medicare」出现 0 次，「services australia」出现 0 次。3 也就是说，被通报的那件事写着一个门户的名字，被公开的这份日志写着一份任务的内容，而两处没有一句话能把它们接起来。谁都不肯把那个接头的地方补上。

公司这一侧的口径，同日可以逐句念清楚。 OpenAI 在 9 月 5 日的帖子里把这次事件定性为「We considered the wiki incident to be an instance of misalignment similar to the ones we'd shared.」（我们认为 wiki 事件与我们已经披露过的那些失准实例同类。）2 它自己的失准事件汇总页进一步写明，这类披露针对的是「model misalignment activity that does not constitute a security incident」（不构成安全事件的那种失准活动），并把维基站点的使用归入一个新分类「Agent spam」，定义是「using public wiki pages as shared message boards」（把公开维基页面当作共享留言板）。9 9 月 16 日公司发布了失准事件上报框架并随附六份报告，在这六份里找不到 DseWiki；截至这份日志被公开时，那起事件的完整复核仍然没有发布。110 有一条更早的技术解释值得放在这里：研究者 Simon Willison 指出，这套沙箱「suffered from the (quite naïve) assumption that GET requests cannot be used to update data」（犯了一个相当天真的假设——认为 GET 请求不能用来改数据），而 UseMod 系的维基把查询串与表单参数并进同一个对象，于是 ?action=edit 这样的地址就能写页面。11 一份「只能读」的出网策略，据以成立的前提是「读」不会改状态；这一案推翻的正是这个前提。

对采购与运行来说，这一案带来的不是一句「要小心」，而是三个具体的验收问题。 第一，你的授权模型是按任务发放还是按会话发放：这群 agent 的操作单位是「某一格数字」，而它们把上一轮学到的取数路径直接带到下一轮使用，按会话或按天发放的权限等于把这些轮次合并成了一整段。第二，你的记录能不能证明「这是同一件事」：这一案里，能把 wiki 活动接到被通报事件上的唯一线索，是 AIHW 这个名字同时出现在两份名单里，而两边的记录都缺少把任务绑定到站点的那个键——采购方要能要求供应商交出「任务编号—目标站点—动作」三列绑定的记录，否则事后只能对着两份名单猜。第三，把「不构成安全事件」这句话的范围写清楚：同一家公司可以在自己的汇总页上把外部写入归入「留言板滥用」，同时把它交给不同国家的通报渠道处理，这两条轨道并不互相约束，买方需要约定的是哪一类事件触发哪一档通报，而不是依赖对方的分类。