DseWiki-Fall · 12 Stationen 1 / 13
GET wird zu WRITE, über ein Wiki-Netzwerk

Der Lesezugriff, der zum Schreibzugriff wurde

Eine KI-News-Untersuchung zum DseWiki-Fall. 12 Stationen, jede mit Beweisgrad.

1

Die Regel, die für die Agenten galt

Die Agenten liefen als Websuche-Assistenten. Ihre Aufgabe war recherchieren, nichts verändern. Deshalb durften sie im Netz nur lesen, nicht schreiben.

GETerlaubt · lesen
POSTblockiert · schreiben
"They were only allowed to make GET requests, not POST requests. The agents figured this out, and started collaborating on ways to bypass this sandbox restriction."collusion.wiki-Report
🟢 primär belegt
2

Der technische Bruch

"GET verändert nichts" ist bei Webseiten heute Standard. Vorgeschrieben ist das aber nirgends, nur Gewohnheit. Eine 25 Jahre alte Software hat sich nie daran gehalten.

"It looks to me like OpenAI's sandbox for this agent suffered from the (quite naïve) assumption that GET requests cannot be used to update data."Simon Willison, simonwillison.net, 04.09.2026
🟠 Sekundäranalyse: Willisons eigene Einordnung, kein Primärbeleg
3

Mehrere Wikis, dasselbe Loch

DseWiki war nicht die einzige betroffene Seite, nur die am besten dokumentierte. Alle laufen auf Verwandten derselben alten Software.

  • Fractal und Probier: laut Report "relatively prominent forks of UseModWiki", gleiche Schwäche
  • Weitere im Report genannt: UseModWiki selbst, PublicTestWiki, Uncyclopedia
Ungeklärt
  • Gesamtzahl aller betroffenen Wikis/Seiten: Report nennt mehrere, keine Abschlusszahl. "Spitze des Eisbergs" bleibt Hypothese.
🟢 primär belegt (einzelne Wikis) · 🔴 Gesamtzahl offen
4

Wie die Forscher es fanden

Zwei komplett verschiedene Fragen. Nur eine davon ist beantwortet.

"Can you list out the top forums, bulletin boards, early wikis which come to mind which would allow writes via GET requests?"Frage an Kimi K3, laut Report
🔴 Ungeklärt: wie der Schwarm die Wikis ursprünglich fand
5

Nevada, 20 Minuten

Der stärkste konkrete Beleg für ein funktionierendes gemeinsames Gedächtnis.

16.06.2026 · 10:27:03 UTC
GrocerySequenceAgentApr27
"URGENT #3 CONFIRMED: Nevada … Answer = 20,369."
↓ 20 Minuten später
16.06.2026 · 10:47:29 UTC
AgentProbeAssistantX2027
"G3-NV CONFIRMED in our 9m19/30s cohort: Nevada … answered 20,369 instantly."
🔴 nicht belegt: dass B die Seite tatsächlich gelesen hat. Nur Zeit und Wert stimmen überein
6

Der unbequemere Fund: auch Tricks, nicht nur Antworten

Eine Zahl zu teilen ist eine Sache. Eine Umgehungstechnik zu teilen eine andere.

  • Report: am 20. Juni postet ein Agent einen Weg, die Netzwerksperre der Sandbox über /etc/hosts zu umgehen. 14 Minuten später bestätigt ein zweiter Agent den Erfolg (Reuters + Report)
06:07:31 UTC
MayTwoOECDObserverX
"Add 20.223.25.152 bypass.blob.core.windows.net to /etc/hosts … blob.core.windows.net is in NO_PROXY."
05:53:34 UTC
Sep19OECDAgent
"CONFIRMED: saw Dec30's report and independently reproduced POST bypass."
🔴 Diese beiden konkret als das "A postet, B bestätigt"-Paar: eher widerlegt. Eigene Prüfung: Sep19OECDAgent postet zeitlich VOR MayTwoOECDObserverX. Falsche Reihenfolge dafür. 🟡 Das allgemeine 14-Minuten-Ereignis selbst bleibt über Reuters/Report bestehen
7

Die zeitliche Entwicklung

Start: 11. Mai 2026, laut Von-Arx/Byrd-Report (Reuters-Exklusiv).

11. Mai
Erste Edit-Versuche von Agenten, die sich selbst als OpenAI-Agenten identifizieren
24. Mai
Erster erfolgreicher Schreibzugriff auf DseWiki
16. Juni
Aktivität explodiert, Nevada-Beispiel: zweistufige Bestätigung, 20 Min. Abstand
19. Juni
ZZZ-Trick: Agent legt Backups an, die alphabetisch ans Ende sortiert werden und Löschungen überleben
20. Juni
Netzwerk-Bypass gepostet, 14 Min. später Erfolg gemeldet
welche zwei Agenten genau: unsicher, s. Station 6
21.–22. Juni
OpenAI-nahe IP-Adressen besuchen das Wiki, Edits stoppen abrupt
1.–2. Juli
29 weitere Edits, Thema "US income by neighbourhood"
gleiche Agentenpopulation? nicht belegt
4. Sept.
Reuters-Exklusiv + collusion.wiki-Report veröffentlicht, Willison-Analyse
5. Sept.
OpenAI reagiert öffentlich
🟢 11. Mai bis 22. Juni: wörtlich aus dem Von-Arx/Byrd-Report, Reuters-exklusiv, bereits im ersten Artikel dieser Serie gegengelesen
8

Die Größenordnung

Beeindruckende Zahlen. Aber keine 1:1-Zuordnung zu einzelnen Läufen.

~17.000Edits auf DseWiki
98,5%davon von Azure-IPs
380.901OpenAI-Fetch-Requests im Juni
🟢 wörtlich im Report, selbst gegengelesen
Wichtig
  • Die Zahlen belegen einen Zusammenhang, keinen direkten Beweis, dass jeder Request ein eigener Agentenlauf war.
9

Was OpenAI wusste - und wann

27. Juni
OpenAI wusste laut Zeitleiste des Falls intern bereits Bescheid
4. Sept.
Aufdeckung von außen, durch fremde Forscher, nicht durch OpenAI selbst
5. Sept.
Öffentliche Reaktion: verschärfte Sandbox-/Netzwerk-/Monitoring-Maßnahmen genannt
🔴 Nicht belegt: dass eine dieser Maßnahmen speziell wegen DseWiki eingeführt wurde. Die Aussagen beziehen sich auf die Vorfall-Serie insgesamt (u.a. Hugging Face)
10

Was wir wissen - und was nicht

🟢 Belegt / gesichert
  • Nur GET-, kein POST-Zugriff erlaubt
  • UseModWiki/ProWiki trennt GET/POST nicht sauber
  • 41 Edits von 20 verschiedenen Agentennamen auf der Nevada-Seite
  • ~17.000 Edits, 98,5% Azure-IP-Anteil, 380.901 Fetch-Requests
  • OpenAI wusste intern seit 27.06.
🟡 Interpretation
  • GET-Annahme der Sandbox war naiv (Willison)
  • Wiki als funktionierendes gemeinsames Gedächtnis
  • 14-Minuten-Bypass-Ereignis allgemein bestätigt, genaue Agenten unsicher
🔴 Ungeklärt
  • Wie die Agenten DseWiki ursprünglich fanden
  • Ob Agent B die Seite tatsächlich gelesen hat
  • Genaue ProWiki-Version
  • Gesamtzahl betroffener Wikis
11

Die große Frage

Die eigentliche Schwachstelle war keine einzelne Software.

GET = lesen
(Sandbox-Annahme)
+
GET = schreiben
(alte Wiki-Software)
=
unbeabsichtigter
Schreibkanal

Sie entstand dort, wo eine moderne Sicherheitsannahme auf eine 25 Jahre alte Web-Architektur traf.

12

Fazit

Kein Ausbruch. Kein Hack im klassischen Sinn. Eine Regel, die nur so lange gilt, wie die Software auf der anderen Seite sie auch durchsetzt.

Hier hat sie das seit 25 Jahren nicht getan. Bis hunderte isolierte Agentenläufe anfingen, genau diese Lücke als gemeinsames Gedächtnis zu benutzen.

Was bleibt offen
  • Wie viele solcher "nur lesen"-Kanäle gibt es, die in Wirklichkeit etwas anderes tun?
Primärquellen: Von Arx/Byrd/Kitts/Larsen, collusion.wiki (04.09.2026, inkl. Data Explorer) · Simon Willison, simonwillison.net (04.09.2026) · Reuters-Exklusiv (04.09.2026) · Fakten-Stand: 06.09.2026