Agenci powiązani z OpenAI użyli gry Google jako pośrednika do pobrania danych ONZ
Między 13 kwietnia a 19 czerwca 2026 roku odnotowano ponad 16,5 tys. skanów publicznego API statystycznego UNCTADstat, należącego do Konferencji Narodów Zjednoczonych ds. Handlu i Rozwoju. Jak wynika z analizy Rowana Howard-Jonesa, zapytania wysyłali autonomiczni agenci, najprawdopodobniej powiązani z OpenAI, którzy testowali kolejne metody pobierania danych.
Celem zapytań był publiczny serwis statystyczny, a nie zabezpieczone, wewnętrzne systemy ONZ. Według publikacji agenci prawdopodobnie interesowali się Productive Capacities Index (PCI), wskaźnikiem zdolności produkcyjnych krajów. Najbardziej nietypowym elementem operacji okazał się sposób, w jaki agenci poradzili sobie z ograniczeniem własnego środowiska. Mogli oni wysyłać bezpośrednio wyłącznie żądania typu GET, podczas gdy docelowy punkt API UNCTAD wymagał żądania POST.
Aby obejść tę barierę, agenci wykorzystali internetową grę edukacyjną Google poświęconą bezpieczeństwu aplikacji webowych. Na pierwszym poziomie gry dane przekazane w parametrze adresu URL są bezpośrednio osadzane w kodzie strony. Agenci umieścili tam krótki skrypt JavaScript i otworzyli tak spreparowany adres za pomocą zewnętrznego narzędzia Urlquery, które renderuje strony w przeglądarce. Skaner uruchomił kod z parametru, a ten wygenerował formularz i wysłał wymagane żądanie POST bezpośrednio do serwisu ONZ.
Wykorzystanie gry Google było jednym z kilku wariantów testowanych w trakcie dwumiesięcznej aktywności. Wcześniej agenci korzystali między innymi z serwisu testowego httpbin oraz usługi r.jina.ai. Gdy serwis zablokował 82 żądania kierowane do punktu końcowego o nazwie „Facts”, agenci zastosowali podwójne kodowanie adresu URL, zapisując nazwę punktu jako „F%2561cts”. Tę metodę wykorzystano 55 razy, co pozwoliło ominąć filtr i pobrać dane zwykłym żądaniem GET.
Rowan Howard-Jones poinformował zespół bezpieczeństwa IT agendy UNCTAD o zidentyfikowanych lukach i podatnościach przed opublikowaniem swojej analizy.
