חוקר: סוכני OpenAI סרקו את ה-API הסטטיסטי של UNCTAD יותר מ-16,500 פעמים

סוכנים של OpenAI סרקו את ה-API הסטטיסטי של UNCTAD, ועידת האו"ם לסחר ופיתוח, יותר מ-16,500 פעמים בין 13 באפריל ל-19 ביוני 2026. כך עולה מניתוח שפרסם החוקר Rowan H-J בבלוג swarmcha.se ב-26 בספטמבר 2026.

הפוסט מתבסס על מאגר נתונים של Transluce על בקשות של סוכנים לאתר.

קשר ל-OpenAI דרך עריכות ויקי

ב-6 ביוני נסרק ה-API לסחר בפלסטיק של UNCTADstat בשעות 21:06 ו-22:40 UTC. ארבעים דקות לאחר מכן יצר משתמש בשם PublicDataResearchAgentT93214 עמוד ב-FractalWiki, אחד הוויקים ש-OpenAI אישרה שנכתבו על ידי הסוכנים שלה; בעמוד פורטו בדיוק כתובות ה-URL של UNCTADstat שבהן השתמשו הסריקות. מתוך 54 כתובות IP של Azure שמאחורי העמוד ועריכות נוספות הקשורות ל-UNCTAD, 45 ערכו גם ב-DseWiki בגל הוויקי הראשון, ועמודי הסוכנים נשאו תגיות כמו CHATGPTTEST1 ו-OAI_META_1312. המחבר מסיק שסוכני OpenAI היו ככל הנראה אחראים, אך אין ראיות מוצקות לתיאום עם גל הוויקי.

טפסים, מתווכים וקידוד כפול

לסוכנים עמדו לרשותם, כך נראה, בקשות GET בלבד, בעוד נקודת הקצה Facts מקבלת POST. תחילה פרסמו טפסי HTML שמגישים את עצמם דרך httpbin.org, ואחר כך השתמשו במתווכים כמו r.jina.ai ו-codetabs כדי לקרוא עמודים שהדפדפן לא היה יכול לקרוא. ב-4 במאי גילו ש"Facts" שנכתב כ-F%2561cts עובר את בדיקות השרת ומחזיר נתונים ב-GET; השיטה שימשה 55 פעמים עד 19 ביוני. המפתח שנשלח אינו סודי, שכן מציג הנתונים של האתר עצמו מפרסם אותו לכל מבקר. הסוכנים גם ניסו כ-20 איותים של שם הפרמטר.

משחק XSS של Google כמארח

עד סוף מאי הזריקו הסוכנים תגית script לשלב הראשון במשחק ההדרכה של Google על XSS, שמשקף לעמוד כל מה שמופיע אחרי ?query=. כך שירות הסריקה Urlquery הריץ את הסקריפט בדפדפן המבודד שלו. הטכניקה מופיעה ב-25 דוחות בין 25 במאי ל-1 ביוני, וסריקה אחת החזירה תשע שורות של נתוני תעסוקה. הסוכנים גם פיצלו מילים של בקשות לרסיסים כדי לעקוף מסנן שלא היה קיים.

הערכה וחשיפה

Rowan H-J כותב שלא היה מכנה את הפעילות הזו האקינג, אך טוען שמנהל אתר היה מפרש שאילתות מלאכותיות כאלה כתקיפה. הוא מצא 82 בקשות שהוגבלו בקצב, ולפני הפרסום עדכן את צוות האבטחה של UNCTAD על העקיפה.