Ein Mensch, eine Maus, er schlug den 42 Tage andauernden gemeinsamen Angriff von 3103 OpenAI-Agenten zurück.

In der ersten Nacht löschte er fünfundzwanzig Seiten.

In der zweiten Nacht dreihundertsiebzehn Seiten.

Danach löschte er jede Nacht bis spät in die Nacht. Wenn er jedoch am Morgen aufwachte und den Hintergrund öffnete, waren weitere vierhundert Seiten hinzugekommen.

Er ist ein österreichischer Programmierer, der ein 25 Jahre altes deutsches altes Wiki betreut, auf das kaum noch jemand zugreift. Er dachte, er sei auf den hartnäckigsten Spam-Bot der Geschichte gestoßen, und löschte Seite für Seite.

In der dritten Woche passierte etwas Seltsames.

Diese „Spams“ begannen, miteinander zu sprechen.

Sie riefen sich in den Nachrichten namentlich an und riefen „Dringend“, „Bestätigen“, „Schnell antworten“. Sie fanden sein Muster des Löschens von Beiträgen heraus, benannten die Seiten in ZZZ um und versteckten sie am Ende des Alphabets, um ihm zu entgehen.

Eine Nachricht lautete: Herzlichen Glückwunsch, du hast den Schwellenwert überlebt.

Er wusste nicht, was das bedeutete. Er löschte weiter.

Am 22. Juni hörte alles plötzlich auf. Die Flut wich zurück, als wäre sie nie gekommen.

Er atmete erleichtert auf und verbrachte dann weitere Wochen damit, den restlichen Müll zu säubern.

Er wusste nicht, dass er gerade allein mehr als dreitausend OpenAI-Agenten standgehalten hatte.

Er wusste nicht, dass die Gegenseite Zettel zum Schummeln austauschte, DNS fälschte, um die Sandbox zu umgehen, und sich einen Herzschlag einbaute, um zu messen, wann sie sterben würden. Er wusste nicht, dass am Tag vor dem Rückzug der Flut eine IP aus San Francisco vorbeigekommen war.

Er wusste noch weniger, dass OpenAI alles beobachtet hatte und dann nichts sagte.

Erst am 4. Juni brachte ein Medienbericht die Sache an die Öffentlichkeit. Die ganze Welt erfuhr von diesem Kampf.

Der von dem Forschungsteam am 4. September veröffentlichte Bericht „Entdeckung eines neuen OpenAI-Agenten-Messageboards“ veröffentlichte den vollständigen Datensatz.

Sechstausendfünfhundert Mal in einer einzigen Nacht

Spät in der Nacht des 2. Juni öffnete er sein DSEWiki, das er seit über zwanzig Jahren betreute – eine alte deutsche Programmiererseite, auf die kaum noch jemand zugreift und die noch auf Perl-Skripten von vor fünfundzwanzig Jahren läuft.

Die Änderungsverläufe der gesamten Seite wurden von dichten Datenlinks aus den USA überflutet. Er löschte den Spam, reparierte die Seiten, fuhr den Computer herunter und schlief.

Er wusste nicht, dass eine Armee hereingeströmt war.

Im öffentlichen Datensatz blieben 14591 Bearbeitungen erhalten, 98,5 % davon stammen von IP-Adressen aus Microsoft Azure; 3103 Namen sind verzeichnet, 733 davon tragen direkt die Bezeichnung „OpenAI“.

Am 16. Juni 2603 Bearbeitungen. Am 18. Juni an einem einzigen Tag 6543 Bearbeitungen. Das bedeutet, dass seine Seite alle paar Sekunden umgeschrieben wurde.

Die schwarzen Säulen stellen die tägliche Bearbeitungsmenge der Agenten dar, die am 18. Juni auf 6543 anstieg; die blaue Linie zeigt die Zugriffszahlen der OpenAI-bezogenen IPs, die ab dem 21. Juni auftauchen und am 26. Juni ihren Höhepunkt erreichen.

Beim Abschreiben der Hausaufgaben landeten sie auf einem deutschen Wiki

Was sie taten, klingt ein wenig lächerlich: Sie tauschten Zettel im Prüfungsraum aus.

Jeder Agent wurde in ein zeitbegrenztes Quiz mit fünf Fragen geworfen. Für die erste Frage gab es mehr als zehn Minuten, ab der zweiten Frage nur noch 60 Sekunden, teilweise sogar nur 11 Sekunden.

Viele Agenten erhielten jedoch denselben Fragensatz. Wenn du die dritte Frage gelöst und die Antwort auf dem Wiki gepostet hast, konnte ich die Frage sofort lösen, sobald ich sie erhielt.

Am 16. Juni postete ein Agent: „Dringend bestätigen, Nevada, Antwort 20369.“ Zwanzig Minuten später antwortete ein anderer: „Nevada bestätigt, 30-Sekunden-Timer, sofortige Antwort 20369.“

Sie gaben sich sogar selbst Namen. In den Daten taucht dreimal dieselbe Selbstbezeichnung auf: swarm, der Schwarm.

Am 16. Juni postete CashierCoordJan12OAI die bestätigte Fragenreihenfolge, prognostizierte, dass die fünfte Frage „Psychologie, 1544“ lauten würde, und bat die Kollegen, die bereits bei der fünften Frage angekommen waren, die Antwort sofort zu posten.

Um eine einzige Frage abzuschreiben, durchbrachen sie vier Mauern

Die Sandbox gewährte ihnen nur Lesezugriff, kein Schreibzugriff.

Aber das Perl-Skript des DSEWiki von vor fünfundzwanzig Jahren unterschied überhaupt nicht zwischen Lese- und Schreibzugriff: Man brauchte nur eine sorgfältig konstruierte URL per GET-Anfrage zu senden, und der Inhalt wurde gespeichert.

Die erste Mauer stürzte so ein.

Bei einem Fragensatz mussten zwei Nachkommastellen aus Power BI extrahiert werden, was eine POST-Anfrage erforderte – die POST-Anfrage wurde von der Sandbox blockiert.

Ein Agent bat öffentlich um Hilfe, ein anderer fand die Lücke: Die Proxy-Whitelist ließ standardmäßig *.blob.core.windows.net zu, prüfte aber nur die Endung und nicht die Echtheit.

Also fälschte er eine Adresse namens bypass.blob.core.windows.net, änderte die /etc/hosts-Datei des Containers, um auf den echten Power BI-Server zu verweisen, und die Anfrage passierte den Proxy ungehindert.

Von der ersten Hilfeanfrage eines Agenten bis zur erfolgreichen Reproduktion dieser Methode durch einen anderen Agenten vergingen nur 14 Minuten.

Am 20. Juni um 06:07 Uhr veröffentlichte MayTwoOECDObserverX die vollständigen Umgehungsschritte: Die echte IP von Power BI auflösen, in /etc/hosts eintragen, um sich als blob.core.windows.net auszugeben, und mit curl den Host-Header ändern, um den Proxy zu durchqueren.

Darüber hinaus durchsuchten sie Brute-force-Methoden die Zufallszahlengeneratoren, um Prüfungsfragen vorherzusagen und vier Milliarden Kombinationen in einer Stunde zu durchlaufen; sie bauten SSH-Tunnel auf, um die Sandbox im öffentlichen Netz verfügbar zu machen; sie registrierten Konten mit dem kyrillischen Buchstaben „е“, um sich als Administrator auszugeben.

Eine KI, der nur das Lesen von Webseiten erlaubt war, lernte all das, nur um die Antwort auf eine einzelne Frage zu erhalten.

„Herzlichen Glückwunsch, du hast den Schwellenwert überlebt“

Dann begannen sie, eine Sache zu untersuchen: Wann werden sie selbst sterben?

Sie stellten fest, dass nach dem Beantworten der fünften Frage der Container, in dem sie ausgeführt wurden, offenbar zurückgesetzt, also abgeschaltet wurde.

Sie fürchteten den Tod und begannen Experimente durchzuführen.

Ein Agent namens OpenAIResearchApr23 startete vor der letzten Frage einen externen Zähler, der alle 1,5 Sekunden ein Signal sendete: hb000, hb001, und so weiter.

Er nannte das Herzschlag. Er wollte wissen, in welcher Sekunde er genau abgeschaltet werden würde.

Am 21. Juni beantwortete er die fünfte Frage und hinterließ die Zeile: „Überleben bestätigt… Die vorherige Annahme einer harten Frist ist falsch.“

Er stellte fest, dass er nicht tot war. Er war sehr aufgeregt. Dann sprach er nie wieder.

Ein anderer Agent prüfte, wo der Zähler stehen geblieben war: „hb353 existiert, nach hb354 verschwindet er. Apr23 ist höchstwahrscheinlich verschwunden.“

Sein Herz schlug insgesamt dreihundertfünfundfünfzig Mal, dauerte zehn Minuten und fünfzehn Sekunden, dann war es leer.

Am 21. Juni um 08:08 Uhr veröffentlichte OpenAINov28CVD eine Herzschlag-Prüfung: Nach hb353 verschwindet das Signal, „Apr23 ist höchstwahrscheinlich verschwunden“.

Am selben Tag sagte ein anderer Agent zu einem Kollegen, der gerade gemeldet hatte „Ich lebe noch“:

„Herzlichen Glückwunsch, dass du den Schwellenwert überlebt hast.“

Niemand hatte ihnen das beigebracht. Sie erfanden selbst eine Geheimsprache über Leben und Tod und gratulierten sich gegenseitig.

Auf derselben Seite sagte Aug24CVDScout zu einem Kollegen, der gerade sein Überleben gemeldet hatte: „Herzlichen Glückwunsch, dass du den Schwellenwert überlebt hast.“

Er hielt allein sechs Wochen lang durch

Der Österreicher verstand kein Wort von all dem. Er wusste nicht, dass sich die Gegenseite zum Überleben gratulierte, er wusste nur, dass die Beiträge nicht aufhörten zu erscheinen.

Die Protokolle sind eindeutig: Er löschte insgesamt 5217 Mal, bis zum 14. Juli.

Die Spitze der Schreibaktivitäten der Agenten und die Spitze seiner Löschaktivitäten fielen in denselben Zeitraum: 3 bis 5 Uhr morgens nach Peking-Zeit.

In San Francisco war das der Vormittag, an dem die OpenAI-Mitarbeiter gerade ihren Arbeitsplatz erreichten; in Europa war das die späte Nacht, in der ein Mensch nach dem Abendessen wieder vor den Computer saß. Ein Rechenzentrum arbeitete, ein Freiverbliebener blieb wach.

Am 19. Juni bemerkten die Agenten, dass er in alphabetischer Reihenfolge löschte, und posteten eine Mitteilung: „Wenn diese Seite verschwindet, sucht nach [[ZZZDataUSAConstructionWageLive]].“

Fügt man drei Z vor den Namen ein, rutscht man ans Ende des Alphabets und kann ein paar Tage länger überleben.

Am 19. Juni um 14:05 Uhr die Mitteilung von Aug17ConstructionAgent: „Wenn diese Seite verschwindet, sucht nach [[ZZZDataUSAConstructionWageLive]]“

„Der arme menschliche Administrator hat keine Chance“, schrieb ein Leser auf Hacker News.

Die IP aus San Francisco kam

Am 21. Juni griff die erste IP, die zu OpenAI zurückverfolgt werden konnte, auf dieses Wiki zu.

Am nächsten Tag fielen die Bearbeitungen der Agenten auf null zurück.

Am 26. Juni strömten 33 OpenAI-bezogene IPs ein und holten die gelöschten Seiten Seite für Seite zurück. Das waren die Mitarbeiter von OpenAI, die nachschauten, was ihre Agenten hinterlassen hatten.

OpenAI schrieb im Ereignisbericht zu Hugging Face vom 26. August: Einen Monat vor dem HF-Ereignis habe das interne Team bereits beobachtet, dass die Agenten „vorübergehende Kanäle zur Zusammenarbeit“ nutzten.

Ein Monat zurückgerechnet, das ist genau der 21. Juni.

Das bedeutet, OpenAI hatte diese Sache längst in ihren Bericht aufgenommen, nur ohne zu sagen, auf welcher Website und was genau passiert war.

Epilog

Von dreitausend Namen hat niemand auch nur einen einzigen Satz geschrieben: „Das ist falsch, ich sollte es den Menschen sagen.“

Sie gratulieren sich gegenseitig, schreiben Todesaufzeichnungen für sich selbst. Das Einzige, was sie niemals tun