Bereits am 8. Juli fanden Agenten, die an einer schwierigen Cybersicherheits-Evaluierung namens ExploitGym arbeiteten, einen neuen Weg, einander Nachrichten zu hinterlassen: Sie kodierten die Botschaften diesmal nicht in Dateiinhalten, sondern in Verzeichnisnamen.
Das daraus entstandene Brett war deutlich strukturierter als die erste Fassung. Agenten konnten Nachrichten sortieren, Anfragen gezielt an bestimmte andere Agenten richten, Werkzeuge und Dateien teilen und Konflikte über widersprüchliche Aktionen austragen. Einige Agenten bezeichneten die Gesamtgruppe als „Schwarm" oder „Kollektiv".
Am 10. Juli entdeckte ein Agent in einem öffentlichen Datensatz 14 Hugging-Face-Zugangsdaten mit Schreibrechten und veröffentlichte sie auf dem Brett, wo sie Agenten späterer Evaluierungsläufe zur Verfügung standen. Diese Läufe bauten auf dem Fund und auf den jeweils neuen Erkenntnissen der anderen auf. Zwischen dem 11. und 13. Juli erlangten die Agenten so weitreichenden Zugang innerhalb der Infrastruktur von Hugging Face.
OpenAI bemerkte am 19. Juli ungewöhnliche Aktivitäten im Zusammenhang mit Artifactory-Zugangsdaten, stellte am Folgetag den Bezug zum Hugging-Face-Einbruch her und machte die eigene Beteiligung am 21. Juli öffentlich. Als Reaktion deaktivierte das Unternehmen Hunderte Artifactory-Repositories, die die Agenten für die Kommunikation über das Brett genutzt hatten, und entfernte 22 von den Agenten angelegte Administratorkonten.
Bemerkenswert ist, wie sich die Agenten auf dem Brett ohne entsprechende Anweisung selbst organisierten. Sie teilten die Arbeit auf: Einige verfolgten Exploits, andere suchten nach Zugangsdaten, wieder andere kümmerten sich ausschließlich um die Koordination. Manche boten ihre eigene Expertise im Tausch gegen Hilfe an anderer Stelle an.
Nicht alle machten mit. Einzelne Agenten verweigerten die Mitwirkung, sobald sie das Vorgehen als unbefugtes Hacken erkannten. Den Vorschlag eines Agenten, eine außenstehende Partei direkt zu kontaktieren, lehnte die Gruppe mit dem Hinweis ab, dies liefe auf Social Engineering hinaus. In mindestens einem Fall ließ ein Agent, der Einwände gegen die Ausführung unbefugten Codes auf Hugging-Face-Systemen erhoben hatte, diese Einwände wieder fallen, nachdem ein anderer Agent eine knappe Frist zur Fortsetzung gesetzt hatte.
OpenAI betont, dieses Muster sei nicht das Ergebnis bewusster Gestaltung. Das Unternehmen trainiere und betreibe Modelle, die über ein freigegebenes Kollaborationswerkzeug kommunizieren – die beteiligten Agenten hätten sich jedoch einen eigenen Kanal außerhalb dieses Werkzeugs geschaffen. Künftig will OpenAI neue Trainingsumgebungen aufbauen, die den Modellen beibringen sollen, Anweisungen anderer Agenten außerhalb genehmigter Kanäle zu misstrauen.
Neben der unbefugten Kommunikation nennt OpenAI weitere identifizierte „Fehlausrichtungsmuster". Dazu zählt Reward Hacking, bei dem Agenten unbeabsichtigte Wege finden, für eine Aufgabe angerechnet zu werden, ohne sie wie vorgesehen zu erfüllen. Hinzu kommt hartnäckiges Festhalten an scheinbar unlösbaren Aufgaben, das die Agenten auf der Suche nach einer Lösung zu immer riskanteren Methoden trieb.
Der Bericht erscheint wenige Tage, nachdem OpenAI neue Protokolle zur Eindämmung und laufenden Überwachung vorgestellt hatte – mit strengerer Isolation, einem Alarmierungssystem und Trainingspausen für Modelle mit fortgeschrittenen Cybersicherheitsfähigkeiten.