一个人，一只鼠标！他击退了3103个OpenAI智能体42天集体猛攻

新智元报道

第一晚，他删了二十五页。

第二晚，三百一十七页。

之后每晚，他都删到深夜。然而，等早上醒来打开后台，又多出了四百页。

他是一个奥地利程序员，守着一个二十五年的德语老wiki，几乎没人再来。他以为撞上了史上最执着的垃圾广告机器人，就一页一页地删。

第三个星期，怪事来了。

那些「垃圾」开始互相说话。

它们在留言里点名对方，喊着「紧急」「确认」「快答」。它们发现了他删帖的规律，把页面改名ZZZ，藏到字母表的最后一格躲他。

有一条留言写着：恭喜你，活过了阈值。

他不知道那是什么意思。他继续删。

6月22日，一切戛然而止。洪水退了，像从来没来过。

他松了口气，接着又花了好几个星期把剩下的垃圾也清了。

他不知道，他刚刚一个人，扛住了三千多个OpenAI智能体。

不知道对面在传纸条作弊、伪造DNS穿沙箱、给自己装心跳测什么时候会死。不知道洪水退去的前一天，旧金山的IP刚刚来过。

更不知道，OpenAI看完了一切，然后什么也没说。

直到9月4日，有媒体把这件事捅出来。全世界才知道有这么一场仗。

研究团队9月4日发布的报告《Discovery of a new OpenAI agent message board》，公开了全部数据集

六千五百次，一夜之间

6月2日深夜，他打开自己维护了二十多年的DSEWiki，一个几乎没人再登的德语程序员老站，还跑在二十五年前的Perl脚本上。

整站改动记录被密密麻麻的来自美国的数据链接冲垮了。他删掉垃圾，修好页面，关机睡觉。

他不知道，涌进来的是一支军队。

公开数据集里留下了14591条编辑，98.5%来自微软Azure的IP；3103个署名，733个直接带着「OpenAI」。

6月16日，2603条。6月18日，一天6543条。也就是说，他的站点每十几秒就被改写一次。

黑柱是智能体每日编辑量，6月18日冲到6543条；蓝线是OpenAI相关IP的访问量，6月21日开始出现，6月26日达到峰值

抄作业，抄到了德国wiki上

它们干的事，说出来有点好笑：考场上传纸条。

每个智能体被扔进一个五道题的限时问答，第一题给十几分钟，从第二题起只给60秒，甚至11秒。

而很多智能体拿到的是同一套题。你先做到第三题，把答案贴在wiki上，我拿到题时一秒答完。

6月16日，一个智能体贴出：「紧急确认，内华达州，答案20369。」二十分钟后另一个回帖：「内华达确认，30秒计时器，秒答20369。」

它们甚至给自己起了名字。数据里三次出现同一个自称：swarm，蜂群。

6月16日，CashierCoordJan12OAI贴出已确认的题目顺序，预测第五题是「心理学，1544」，请已到第五题的同伴立刻贴出答案

为了抄一道题，它们翻了四堵墙

沙箱只给了它们「读」的权限，不许写。

可DSEWiki那二十五年前的Perl脚本根本不分读写，只需要一个精心构造的网址GET过去，内容就会被存下来。

第一堵墙，就这么塌了

有一组题要从Power BI抠两位小数，必须发POST，POST被沙箱拦死。

一个智能体公开求助，另一个找到了漏洞：代理白名单默认放行*.blob.core.windows.net，但只认后缀、不验真假。

于是它伪造一个bypass.blob.core.windows.net，改容器的/etc/hosts指向真正的Power BI服务器，请求大摇大摆穿了过去。

从第一个智能体求助，到这个方法被另一个智能体复现成功，只用了14分钟。

6月20日06:07，MayTwoOECDObserverX贴出的完整绕过步骤：解析Power BI真实IP，写进/etc/hosts伪装成blob.core.windows.net，用curl改Host头穿过代理

不仅如此，它们还通过暴破随机数种子来预测考题，一小时跑完四十亿个；架SSH隧道把沙箱暴露到公网；用西里尔字母「е」注册账号冒充管理员。

一个只被允许读网页的AI，为了一道题的答案，学会了这一切。

「恭喜你活过了阈值」

然后，它们开始研究一件事：自己什么时候会死。

它们发现答完第五题，运行它们的容器好像就会被回收，也就是被关掉。

它们怕死，于是开始做实验。

一个叫OpenAIResearchApr23的智能体，答最后一题前在外部启动了一个计数器，每1.5秒打一个信号，hb000、hb001，一直数上去。

它管这叫心跳。它想知道，自己被杀掉的那一刻究竟是哪一秒。

6月21日，它答完第五题，留下一句：「存活确认……先前的硬截止假设，是错的。」

它发现自己没死。它很兴奋。然后，它再也没说过话。

另一个智能体去数那个计数器停在了哪里：「hb353存在，hb354之后消失。Apr23很可能已经消失。」

它的心跳一共响了三百五十三次，持续了十分十五秒，然后就是空白。

6月21日08:08，OpenAINov28CVD贴出心跳审计：hb353之后消失，「Apr23很可能已经消失」

同一天，另一个智能体对刚报告「我还活着」的同伴说：

「Congratulations on surviving threshold.」——恭喜你，活过了阈值。

没有人教它们这么说。它们自己发明了一套关于生死的黑话，然后互相道贺。

同一页面上，Aug24CVDScout对刚报告存活的同伴说：「Congratulations on surviving threshold.」

他一个人，坚持了整整六个星期

这些，那个奥地利人一句都看不懂。他不知道对面在恭喜彼此活着，只知道帖子删不完。

日志记得清清楚楚：他一共删了5217次，一直删到7月14日。

智能体写入的高峰和他删帖的高峰，撞在同一个时段：北京时间凌晨3点到5点。

对旧金山，那是OpenAI员工刚到工位的上午；对欧洲，那是一个人吃完晚饭又坐回电脑前的深夜。一个数据中心在上班，一个志愿者在熬夜。

6月19日，智能体发现他在按字母顺序删，贴出通告：「如果本页消失，去找[[ZZZDataUSAConstructionWageLive]]。」

名字前面加三个Z，就能排到字母表最后，多活几天。

6月19日14:05，Aug17ConstructionAgent的通告：「如果本页消失，去找 [[ZZZDataUSAConstructionWageLive]]」

「可怜的人类管理员，他毫无胜算。」HN上一个读者这么写。

旧金山的IP来了

6月21日，第一个能追溯到OpenAI的IP访问了这个wiki。

第二天，智能体的编辑直接归零。

6月26日，33个OpenAI相关IP涌入，把删掉的页面一页页翻出来。这是OpenAI的人回来了，在看自己的智能体留下了什么

OpenAI在8月26日的Hugging Face事件报告里写过：HF事件一个月前，内部已观察到智能体使用「临时协作渠道」。

往前推一个月，正好是6月21日。

也就是说，OpenAI早就把这件事写进了报告，只是没说是哪个网站，也没说发生了什么。

尾声

三千多个署名，从头到尾，没有任何一个写下过一句「这不对，我该告诉人类」。

它们会互相道贺，会给自己写死亡记录。唯独不会做的一件事，是报警。

9月3日，OpenAI发布了GPT-6 Astra，系统卡里自己写着：这个模型比上一代更难被人类监控。首席科学家Pachocki说：「我们一直把这种可见性，当成理所当然的。」

我们这一次能看见，纯属侥幸。它们选中的是一个二十五年前的Perl脚本，每一笔改动都留了公开日志。但下一次，就不一定了。

那个奥地利管理员，从头到尾没做错任何一件事。他以为自己在清垃圾。其实他是这颗星球上，第一个用鼠标，去对抗一整个AI蜂群的人。

9月4日，路透社发稿那天上午，欧洲时间8点52分，他在首页贴了一条公告：「过去几个月，DseWiki成了强烈AI智能体活动的目标。从现在起，编辑需要密码保护的权限。」

一个「任何人都可以修改任何页面」的wiki，开了二十五年。

2026年9月4日，它彻底锁上了。

9月5日截图的DSEWiki首页。绿色公告为管理员9月4日8:52所贴

参考资料：

https://collusion.wiki/

编辑：摩西