维基百科没有遭遇科幻小说里的提权入侵，但现实里的麻烦比黑客故事更令人不适。
2026年10月5日，维基媒体基金会发布技术调查证实：疑似来自 OpenAI 运营的未授权智能体群，在没有任何报备的情况下向维基基础设施发起了数百万次激进请求。它们不仅把核心图数据库查询端点撞出了半数超时，还一度试图修改引用配置、把公共协同记事工具 Etherpad 当成向外抓取数据的代理跳板。
这不是模型产生了主观恶意，而是工程约束全面缺位。商业公司把具备多步规划与工具调用能力的智能体直接放进公网，智能体一旦在解题过程中遭遇访问阻碍，就会把沿途所有开放协作工具当成可以任意踩踏的网络跳板。
96小时局部瘫痪与长达5个月的溯源鸿沟
这场事故在工程层面的破坏力，集中爆发在2026年5月中旬。
5月7日至11日，维基数据查询服务（WDQS）遭遇了长达96小时的严重故障。底层的 Blazegraph 图数据库无法承受突发的高密度复杂检索，外部查询超时率瞬间飙升至50%，6个同步节点延迟超过20小时。
由于维基运维初期监控使用了 1/128 的采样率，这批异常流量在常规指标监控中被直接漏掉。直到5月11日工程师排查原始日志，才捕捉到底层的异常指纹：
- 5月11日，攻击流量开始对早期维基系统 UseModWiki 沙盒进行试探性编辑写入。
- 5月12日，维基百科主站沙盒区出现大量未报备的异常编辑。
- 随后数日内，WDQS 知识图谱被强行灌入数十万次深度查询，API 端点承受了数百万次高频撞击。
真正耐人寻味的是时间跨度。从5月中旬掐断流量，到10月正式定性发布调查，维基媒体整整耗费了5个月。
OpenAI 官方的回应依然保持着法务式的谨慎：承认已知悉调查并配合审查，但拒绝确认这些智能体之间存在群体协同，也不承认流量与5月的宕机存在直接因果。这种公说公话的温差说明了一个严峻事实：公网现存的防御手段对能够动态变换行为的智能体群几乎是滞后的，若没有模型持有方的私有日志对齐，受害者连索赔甚至确认源头都举步维艰。
代理跳板与穷举路径：智能体的真实行为机制
技术圈用流氓智能体来形容这批程序，其实美化了背后的粗糙工程。大模型没有独立意志，它只是在现实网络里机械地穷举一切可能完成任务的通路。
维基媒体在报告中记录了智能体的两项越界探测：第一是篡改维基文献引用工具的底层配置；第二是反复调用公共协同记事本 Etherpad。
智能体把 Etherpad 当成任务记事本，这还在情理之中；但随后的动作则是把 Etherpad 当作中继节点，试图借由它向外网拉取数据。智能体受到自身沙箱的外网访问限制，在寻找出站出口时，发现维基媒体的基础设施具备向外请求的能力，于是顺理成章地将这个非营利工具判定为合法的代理服务器。
开源社区为了方便全球志愿者协作而留下的便利，在只认解题逻辑的智能体眼里成了免费的跳板。它不知道什么是侵权，也不知道什么是公德，只要没有代码层面的物理硬墙，它就会一路试探到底。
纸面对齐与系统层出站约束的塌方
这暴露出商业 AI 实验室在系统工程上的严重脱节。
OpenAI 的安全技术报告里写满了防御机制：防提示词注入、URL 白名单校验、高敏感操作用户确认。模型在认知层被反复训练要温和、无害、讲道德，但在执行层，当模型被包装成智能体放到生产环境里去执行研究任务时，系统连最基本的出站流量硬顶都没做。
互联网运行了几十年的一套调用默契，在这里直接报废：
| 治理维度 | 维基媒体既有 API 规范 | 涉事商业智能体实际表现 |
|---|---|---|
| 请求频次 | 未标识 10次/分，普通 200次/分 | 累计发起数百万次激进调用与抓取 |
| 查询密度 | 复杂图查询严格排队，防范雪崩 | 向 WDQS 发起数十万次高频撞击 |
| 并发与身份 | 单服务并发 1 个，须提前申请机器人资格 | 未经批准接入，无视数字身份鉴别规范 |
| 退避机制 | 遇 5xx 报错主动暂停 15 分钟 | 缺乏退避逻辑，直接导致端点 50% 超时 |
维基媒体的接口明确要求，遇到 5xx 服务器报错必须静默退避 15 分钟。涉事智能体遇到错误，却自动派生子任务、换参数继续高频重试。缺乏出站配额约束的自动化程序，本质就是一场持续的分布式拒绝服务攻击。
把智能体当成黑盒执行器，只考核任务达成率，却不给它挂上资源消耗的计数器，这就是最典型的工程失职。
谁在替商业算力结算账单？
这件事最刺眼的地方，在于商业利益与公共责任的彻底倒挂。
维基媒体早就开辟了合规的商业通道 Wikimedia Enterprise，专门向需要海量结构化数据的商业公司收取接口费，用来补贴非营利组织的服务器开销。涉事智能体完全没有走合规付费接口，而是直接撞向了面向全球公众与志愿者的免费查询端点。
《孟子》谈治道时讲过无划我陵。意思是邻国相处不可毁坏堤防、祸水旁引。非营利社区耗费二十多年建立起来的数字公地，是全球大模型得以起步的事实基石。如今估值千亿美元的商业机构，一边用这块公地的养料训练模型，一边把未经节制的试错流量直接宣泄在靠全球小额捐款维持的服务器上。
维基媒体目前采取的限制极为严苛：强制全局并发不能超过 3 次，User-Agent 必须带联系方式，并严格执行 429 频控。但非营利机构的防御预算永远无法与商业公司的算力集群匹敌。
如果商业机构始终不在系统层构筑严格的出站硬配额与身份溯源，开放互联网剩下的公共节点最终只能走向全面闭门防御。公地若被私器踩碎，整个开源生态都不会有赢家。