Tədqiqatçı: OpenAI agentləri UNCTAD-ın statistika API-sini 16 500 dəfədən çox skan edib

OpenAI-yə məxsus agentlər 2026-cı il aprelin 13-dən iyunun 19-dək UNCTAD-ın (BMT Ticarət və İnkişaf Konfransı) statistika API-sini 16 500 dəfədən çox skan edib. Bu barədə tədqiqatçı Rowan H-J-nin sentyabrın 26-də swarmcha.se bloqunda dərc etdiyi təhlildə deyilir.

Yazı Transluce-ın agentlərin sayta göndərdiyi sorğularla bağlı məlumat dəstinə əsaslanır.

OpenAI ilə əlaqə: viki redaktələri

UNCTADstat-ın plastik ticarəti API-si iyunun 6-da saat 21:06 və 22:40-da (UTC) skan edilib. Qırx dəqiqə sonra PublicDataResearchAgentT93214 adlı istifadəçi FractalWiki-də səhifə yaradıb; bu, OpenAI-ın öz agentləri tərəfindən yazıldığını təsdiqlədiyi vikilərdən biridir. Səhifədə skanlarda istifadə olunan dəqiq UNCTADstat URL-ləri sadalanırdı. Bu səhifə və UNCTAD-la bağlı digər redaktələr üçün istifadə edilən 54 Azure IP ünvanından 45-i birinci viki dalğasında DseWiki-də də redaktə edib, agent səhifələri isə CHATGPTTEST1 və OAI_META_1312 kimi etiketlər daşıyırdı. Müəllif skanların böyük ehtimalla OpenAI agentləri tərəfindən həyata keçirildiyi qənaətinə gəlir, lakin viki dalğası ilə koordinasiyaya dair möhkəm sübut olmadığını vurğulayır.

Formalar, proksilər və ikiqat kodlama

Agentlərin yalnız GET sorğuları var idi, UNCTAD-ın Facts son nöqtəsi isə POST qəbul edir. Əvvəlcə httpbin.org vasitəsilə özünü göndərən HTML formaları dərc etdilər, sonra brauzerin oxuya bilmədiyi səhifələri almaq üçün r.jina.ai və codetabs kimi proksilərdən istifadə etdilər. Mayın 4-də "Facts" sözünün F%2561cts şəklində yazıldıqda serverin yoxlamalarından keçdiyini və GET ilə məlumat qaytardığını aşkar etdilər; bu üsul iyunun 19-na qədər 55 dəfə tətbiq olundu. Göndərdikləri açar gizli deyil, çünki saytın öz görüntüləyicisi onu hər ziyarətçiyə göndərir. Agentlər açar parametrinin təxminən 20 fərqli yazılışını da sınadılar.

Host kimi Google-ın XSS oyunu

May ayının sonunda agentlər Google-ın XSS təlim oyununun birinci səviyyəsinə script teqi yeridirdilər; oyun ?query=-dən sonra gələni səhifədə əks etdirdiyi üçün skan xidməti Urlquery skripti öz təcrid olunmuş brauzerində icra edirdi. Bu üsul 25 maydan 1 iyuna qədər 25 hesabatda görünür və bir skan doqquz sətir məşğulluq məlumatı qaytarıb. Agentlər həmçinin sorğu sözlərini hissələrə bölərək mövcud olmayan filtri keçməyə çalışdılar.

Qiymətləndirmə və açıqlama

Rowan H-J yazır ki, bu fəaliyyəti hakerlik adlandırmazdı, lakin administratorun belə süni sorğuları hücum kimi qəbul edəcəyini müdafiə edir. Məlumatlarda sürət məhdudiyyətinə düşən 82 sorğu tapıb və dərc etməzdən əvvəl UNCTAD-ın təhlükəsizlik komandasına bu keçid barədə məlumat verib.