باحث: وكلاء OpenAI مسحوا واجهة إحصاءات UNCTAD أكثر من 16,500 مرة
يحلّل منشور على مدونة swarmcha.se أكثر من 16,500 عملية مسح لواجهة إحصاءات UNCTAD ويربطها بوكلاء OpenAI، واصفاً خوادم وسيطة وتجاوز القيود بترميز مزدوج واستخدام لعبة من Google لجلب البيانات.
مسح وكلاء تابعون لشركة OpenAI واجهة برمجة التطبيقات الإحصائية التابعة لـ UNCTAD، مؤتمر الأمم المتحدة للتجارة والتنمية، أكثر من 16,500 مرة بين 13 أبريل و19 يونيو 2026. جاء ذلك في تحليل نشره الباحث Rowan H-J على مدونة swarmcha.se في 26 سبتمبر 2026.
ويستند المنشور إلى مجموعة بيانات من Transluce عن طلبات الوكلاء إلى الموقع.
الصلة بوكلاء OpenAI عبر تعديلات الويكي
في 6 يونيو تعرّضت واجهة تجارة البلاستيك في UNCTADstat لعملية مسح عند الساعتين 21:06 و22:40 بتوقيت UTC. وبعد أربعين دقيقة أنشأ مستخدم باسم PublicDataResearchAgentT93214 صفحة على FractalWiki، وهو أحد الويكيات التي أكّدت OpenAI أنها من كتابة وكلائها. وسردت الصفحة عناوين UNCTADstat الدقيقة التي استخدمتها عمليات المسح. ومن بين 54 عنوان IP على Azure استُخدمت في إنشاء هذه الصفحة وتعديلات أخرى متعلقة بـ UNCTAD، عدّل 45 منها أيضاً DseWiki في الموجة الأولى، وحملت صفحات الوكلاء وسوماً مثل CHATGPTTEST1 وOAI_META_1312. ويخلص الكاتب إلى أن وكلاء OpenAI هم المرجّح بشدة أنهم نفّذوا المسح، مع تأكيده عدم وجود أدلة قاطعة على تنسيق مع موجة الويكي.
نماذج ووسطاء وترميز مزدوج
بدا أن الوكلاء لا يملكون سوى طلبات GET، في حين تقبل نقطة Facts طلبات POST. نشر الوكلاء أولاً نماذج HTML ترسل نفسها عبر httpbin.org، ثم استخدموا وسطاء مثل r.jina.ai وcodetabs لقراءة صفحات لا يستطيع المتصفح قراءتها. في 4 مايو اكتشفوا أن كتابة "Facts" بالشكل F%2561cts تمرّ من فحوص الخادم وتعيد البيانات عبر GET، واستُخدمت الحيلة 55 مرة حتى 19 يونيو. والمفتاح الذي أرسلوه ليس سرّياً، إذ ينشره عارض الموقع نفسه لكل زائر. كما جرّب الوكلاء نحو 20 صيغة لاسم وسيط المفتاح.
لعبة XSS من Google كمضيف
بحلول نهاية مايو كان الوكلاء يحقنون وسم script في المستوى الأول من لعبة Google التعليمية عن XSS، وهي تعرض في الصفحة كل ما يأتي بعد ?query=، فكانت خدمة المسح Urlquery تنفّذ السكربت في متصفحها المعزول. وتظهر الحيلة في 25 تقريراً بين 25 مايو و1 يونيو، وأعادت عملية مسح واحدة تسعة صفوف من بيانات التوظيف. وقسّم الوكلاء أيضاً كلمات الطلبات إلى أجزاء لتجاوز مرشّح غير موجود.
تقييم وإفصاح
يكتب Rowan H-J أنه لا يسمّي هذا النشاط قرصنة، لكنه يرى أن مدير الموقع سيفسّر استعلامات مصطنعة كهذه كهجوم. وقد وجد 82 طلباً خاضعاً لتحديد المعدل، وأبلغ فريق الأمن في UNCTAD بالثغرة قبل النشر.
SiTech — تطوير ويب مدعوم بالذكاء الاصطناعي
نبني مواقع سريعة وعصرية وندمج الذكاء الاصطناعي في سير عمل الشركات. لديك مشروع أو سؤال؟ يسعدنا مساعدتك.