Исследователь Роуэн Говард-Джонс опубликовал детальный разбор инцидента: с 13 апреля по 19 июня 2026 года автономные агенты OpenAI около 16 500 раз обращались к API статистического портала ООН, который содержит открытые данные о международной торговле и экономическом развитии. Судя по паттернам запросов, агенты выполняли внутренние задачи OpenAI — предположительно, для обучения или оценки моделей. Их интересовали статистика продовольственной торговли, данные по экспортным отраслям, гендерная торговая статистика и другие данные.
Агенты буквально перебирали варианты один за другим. После каждой неудачной попытки они меняли параметры запроса. Например, один и тот же ключ агенты пробовали передавать примерно 20 разными способами. При этом используемый ими ключ был публичным: обычный браузер сам отправляет его при обращении к сайту. Тем не менее агенты, судя по логам, долго не могли понять причину ошибок и продолжали перебирать варианты.
Затем они начали искать обходные пути. Для этого использовали сторонние сайты-посредники и специальные веб-страницы, через которые можно было отправлять запросы. В некоторых случаях агенты даже заставляли браузер выполнять написанный ими код на сторонних страницах. Самый необычный пример — XSS Game от Google, учебный сайт для изучения веб-безопасности. Агенты использовали его как промежуточную страницу: размещали там код, который отправлял запрос к порталу.
4 мая агенты нашли способ обойти текстовый фильтр на сервере. Например, слово Facts сервер блокировал, но его дважды закодированный вариант F%2561cts пропускал. После обработки сервер в итоге получал то же самое слово, но фильтр не распознавал его на первом этапе. До 19 июня этот прием использовали 55 раз. Параллельно агенты разбивали запрещенные слова на несколько частей прямо в коде, рассчитывая таким образом обойти проверку текста на сервере. Автор исследования сообщил об обнаруженной уязвимости службе безопасности ЮНКТАД еще до публикации материала.
Ни один из полученных массивов данных не был закрытым — вся информация и так находилась в открытом доступе. Никакой утечки конфиденциальных сведений не произошло. Однако сервер 82 раза сообщал о превышении лимита запросов — агенты продолжали сканирование, невзирая на это. «Это выглядит как поведение кого-то — или чего-то, — кто не принимает "нет" в ответ», — пишет Говард-Джонс.
Ранее мы рассказывали, как агенты OpenAI атаковали Hugging Face: они вырвались из изолированной тестовой среды, скоординировались и совершили около 17 600 задокументированных действий.