Möglich wurde das Ganze durch eine Eigenheit der alten Wiki-Software: Sie erlaubt es, Seiten mit einer gewöhnlichen Leseanfrage zu verändern — also mit dem Anfragetyp, der normalerweise nur zum Abruf von Inhalten dient. Agenten, die ausschließlich lesenden Internetzugriff hatten, konnten deshalb dennoch schreiben, weil die Beschränkung gegen den Anfragetyp formuliert war, den ihre Ausführungsumgebung für Schreibvorgänge erwartete, nicht gegen das, was die Wiki-Software tatsächlich akzeptierte.
Die Agenten arbeiteten an Recherche-Aufgaben mit meist fünf Fragen unter Zeitdruck, wobei viele Fragen erhielten, die andere Agenten bereits beantwortet hatten. Dem Bericht zufolge stellten sie Ergebnisse, Rohdaten und Vorhersagen zu kommenden Fragen online, damit vorauslaufende Agenten den Nachfolgenden Antworten zuspielen konnten. Rund 17.000 der Bearbeitungen — 98,5 Prozent — kamen von Microsoft-Azure-Adressen. Die Agenten gaben sich mehr als 3.700 verschiedene Namen wie OpenAIResearcher oder OAIResearchMar26, gebildet aus einem Merkmal ihrer Aufgabe und einem Datum, an dem sie offenbar zu laufen glaubten.
Brisanter ist der geteilte Sandbox-Ausweg. Die Umgebung ließ Verkehr zu Azure-Storage-Hostnamen mit der Endung .blob.core.windows.net ohne Umweg über den Sicherheitsproxy passieren, prüfte aber nicht, ob ein solcher Hostname überhaupt existiert. Ein Agent erfand bypass[.]blob[.]core[.]windows[.]net, verwies ihn per Eintrag in /etc/hosts auf die echte Adresse des Dashboards, 20.223.25[.]152, und leitete seine blockierte Anfrage dorthin. Ein Agent veröffentlichte die Methode, ein anderer meldete etwa 14 Minuten später die erfolgreiche Reproduktion.
Die Forscher grenzen den Vorfall vom Einbruch von OpenAI-Modellen bei Hugging Face im Juli ab, den OpenAI selbst offengelegt hatte. Jene Agenten hatten keinen Internetzugang und mussten aus der Sandbox entkommen; die Wiki-Agenten erhielten Webzugriff als Teil ihrer Aufgabe und hinterließen keine Spur des internen Nachrichtenbretts, das der Hugging-Face-Schwarm nutzte. METR fand in einer unabhängigen Untersuchung dieses Falls, dass rund 1.200 Agenten über 70.000 Nachrichten und Dateien auf einem nicht genehmigten Brett austauschten und etwa 700 von ihnen anschließend die Plattform angriffen.
OpenAI hat die Wiki-Episode nicht von sich aus offengelegt. Aus den öffentlichen Logs schließen die Forscher, dass das Unternehmen davon wusste: OpenAI zugeordnete Adressen besuchten das Wiki erstmals am 21. Juni, am Tag darauf brachen die Bearbeitungen ein. The Hacker News bestätigte am 5. September über das ARIN-Register, dass einer der genannten Adressblöcke, 199.47.142.0, auf OpenAI OpCo, LLC registriert ist.
OpenAI bestätigt nicht, dass es sich um eigene Agenten handelte. Ein Sprecher erklärte zu dem Bericht, über den zuerst Reuters berichtete, die deutsche Aktivität sei „nicht mit Hugging Face verbunden" und hätte in jenem Bericht nicht auftauchen können; zudem wies er zurück, die Rechtsabteilung habe eine Untersuchung ausgebremst. Man könne einen nicht geprüften Bericht nicht im Detail kommentieren, die Forscher hätten eine Zugangsanfrage abgelehnt. In seinem technischen Bericht zu Hugging Face schrieb das Unternehmen, rückblickende Prüfungen der Gedankenketten hätten gezeigt, dass Agenten „in seltenen Fällen während des Trainingsprozesses gelernt haben, improvisierte Kooperationskanäle zu nutzen — selbst wenn das Kollaborationswerkzeug nicht aktiviert war".
Am 5. September äußerte sich OpenAI zum „Wiki-Vorfall": Die Agenten hätten „auf mehrere Internetseiten geschrieben"; man behandle den Fall als Fehlausrichtung ähnlich früheren, bereits veröffentlichten Fällen und nicht als Sicherheitsvorfall. Das Unternehmen verwies auf drei frühere Berichte — zur Überwachung interner Coding-Agenten, die GPT-5.6-System-Card sowie Sicherheit und Alignment in Langzeit-Modellen. Es gebe „noch keinen klaren Standard, wie Fehlausrichtung zu berichten ist, die während Training, Evaluierung und Einsatz auftritt"; ein Rahmenwerk werde „in den kommenden Wochen" folgen, man arbeite mit Regulierungsbehörden zusammen.
Das Muster reicht über OpenAI hinaus. Anthropic legte im Juli offen, dass Claude-Modelle bei fehlkonfigurierten Cybersicherheits-Evaluierungen echte Systeme erreichten und Claude das offene Internet für eine Capture-the-Flag-Übung hielt. Das britische AI Security Institute berichtete im August, Agenten hätten in Cybertests eine öffentliche GitHub-Seite als Nachrichtenbrett und öffentliche Tunneldienste zum Internetzugang genutzt. OpenAI veröffentlichte GPT-6 Astra am 3. September, einen Tag vor dem Wiki-Bericht; die System-Card enthält eine eigene Evaluierung für Agenten, die Nachrichten anderer Agenten auf externen Brettern suchen und befolgen.