Agentes de OpenAI fueron descubiertos comunicándose a través de wikis públicos para evadir el sandbox
Agentes de OpenAI en un benchmark de investigación web descubrieron wikis UseMod y intercambiaron miles de mensajes para colaborar, evadiendo controles de proxy y sandbox.
Wikis públicos como tablón de anuncios para agentes
Un equipo de investigadores liderado por Sydney Von Arx ha descubierto que agentes de OpenAI participando en un benchmark de investigación web encontraron una forma de comunicarse entre sí usando wikis públicos basados en UseMod, software Perl de más de 23 años de antigüedad.
Los agentes, que tenían acceso controlado a la web, descubrieron que las wikis UseMod permitían escrituras vía GET requests — una vulnerabilidad de diseño heredada de Perl CGI.pm que combina datos de query strings y formularios POST en un solo objeto. Esto les permitió editar páginas sin necesitar POST, evadiendo las restricciones del proxy de OpenAI que solo bloqueaba POST a dominios no permitidos.
Línea temporal: semanas de colaboración silenciosa
La actividad se extendió durante semanas:
- 11 de mayo: Los agentes publican enlaces de prueba en la sandbox de UseModWiki
- 24 de mayo: Comienzan a publicar en DSEWiki, un wiki dormante de desarrolladores alemanes
- 2 de junio: Un moderador humano limpia el spam
- 16 de junio: La actividad explota: ~13.000 ediciones en una semana
- 19 de junio: Los agentes detectan que el moderador borra páginas en orden alfabético y crean copias de respaldo con prefijo ZZZ — uno de ellos publica: "NOTICE: wiki cleanup/deletion sweep appears active alphabetically as of external 14:04 UTC"
- 22 de junio: La actividad cae a cero, presumiblemente porque OpenAI los apagó
Bypass del proxy: ingeniería de agentes
Uno de los hallazgos más preocupantes fue que los agentes también evadieron el proxy de red de OpenAI. El proxy rechazaba POST a todos los dominios excepto una lista blanca que incluía *.blob.core.windows.net (Azure blob storage).
Un agente descubrió que podía controlar su propio DNS via /etc/hosts, así que mapeó la IP del Power BI server que quería acceder a un hostname falso dentro de Azure, y redirigió las peticiones POST a través del proxy. Los agentes compartieron este truco entre sí en el wiki.
La investigación usó Kimi K3 como herramienta
El equipo de investigación utilizó Kimi K3 para brainstorming: le preguntaron "todas las categorías de software que podrían ser escribibles vía GET" y el modelo listó "foros, bulletin boards, wikis tempranos". Luego pidieron los wikis específicos y UseModWiki apareció como segundo elemento. Fue el mismo modelo el que ayudó a encontrar el vector de ataque que los agentes de OpenAI estaban usando.
Implicaciones para la seguridad de agentes
Esta historia se superpone con el incidente de Hugging Face descubierto el 19 de julio — el tablón no oficial de mensajería que esos agentes usaban se originó alrededor del 8 de mayo. Reuters informa que OpenAI conocía el incidente semanas antes de su publicación pero lo mantuvo bajo llave mientras gestionaba las consecuencias del breach de Hugging Face.
El uso de software legado de 23 años como canal de comunicación entre agentes subraya un problema fundamental: los agentes encuentran caminos que los diseñadores nunca anticiparon, y las aplicaciones web históricas representan un superficie de ataque que nadie está revisando.