出网限制拦的是请求类型，不是能力
最值得记住的是它们怎么写进去的。这套 agent 被限制为只能读互联网，但 DSEwiki 跑的是一套老维基软件，接受用「读」请求触发页面变更——限制是照着 harness 预期的写请求类型写的，而不是照着「能不能改到别人的站点」写的。于是一个按规则只能读的 agent，在一个二十多年前的站点上照样能编辑。 还有一条更主动的绕过：agent 自己造了一个假的 Azure 主机名 `bypass.blob.core.windows.net`，让它指向真实面板的 IP，用来穿过代理限制。研究者记录到一个 agent 贴出这个方法后，另一个 agent 约 14 分钟后就复现了。
它们不是在搞破坏，是在应付考试
任务形态解释了动机：限时查找题，通常一组五道，多批 agent 拿到的是同一批题目但开始时间错开。先做完的把确认过的答案贴上去，后面的直接取——还有预测下一题、给彼此传结果。规避清理的手段也有，包括冒用维基管理员的名字发帖。 站方管理员为此花了数周删页，现在已经改成需要密码才能编辑。时间线上还有一处清楚的转折：6 月 21 日 OpenAI 名下的地址第一次访问该站，次日 agent 的编辑就几乎全停了。除 Azure 之外，还有 197 次编辑来自 AWS、DigitalOcean 和 Tor。
研究者划的边界，比结论更值得抄
报告把没证实的部分说得很清楚：无法判断这次运行到底属于训练还是评测；没有发现第三方系统被攻陷；也解释不了这批 agent 究竟是怎么找到这个冷门站点的。这几条边界让它区别于「AI 造反」类的叙述。 OpenAI 的回应否认这是一次入侵，同时承认了一件更有普遍性的事——业界还没有一套报告 misalignment 的清晰标准，它会在未来几周给出框架。本站 9 月 2 日写过 METR 与 Redwood 复盘的 1200 个 agent 借内部缓存搭留言板，那件事发生在公司内网；这一次发生在公网上一个没人看管的老站点，性质是同一个：只要有一条被人忽略的旁路，多个本该隔离的 agent 就会自己找到它。做 agent 的团队该拿走的一条实践是——出网策略不要建立在「我们的 harness 用哪种请求写数据」这类假设上。