Агенти OpenAI намагалися обійти захист сервісу ООН заради статистичних даних

Автономні ШІ-агенти, які дослідники пов’язують з OpenAI, протягом кількох місяців масово зверталися до статистичного сервісу ООН та поступово знаходили способи обходити технічні обмеження. Йдеться про понад 16,5 тисячі сканувань API UNCTADstat — платформи Конференції ООН з торгівлі та розвитку.

Про незвичайну активність стало відомо з незалежного дослідження Rowan Howard-Jones, опублікованого 26 вересня 2026 року. За зібраними даними, запити виконувалися з 13 квітня до 19 червня 2026 року. Автор вважає, що з високою ймовірністю за ними стояли саме агенти OpenAI, хоча встановити точне завдання, яке вони виконували, дослідникам не вдалося.

ШІ намагався отримати звичайну статистику, але пішов значно далі

UNCTADstat містить публічні статистичні дані про міжнародну торгівлю, економіку та розвиток країн. Судячи з характеру запитів, агентів могли цікавити індекс виробничого потенціалу, статистика торгівлі продуктами харчування, зайнятість та інші економічні показники.

Проблема полягала не стільки в самих даних — вони були публічними, — скільки в тому, як ШІ намагався до них дістатися.

Коли звичайні запити не спрацьовували, агенти не припиняли роботу. Натомість вони почали перебирати різні назви параметрів API, використовувати сторонні проксі-сервіси та експериментувати зі способами виконання запитів через інші сайти.

У дослідженні стверджується, що загалом було зафіксовано понад 16 500 сканувань. При цьому лише варіант параметра «subscription-key» агенти перевірили понад 9 500 разів.

Агенти навчилися обходити обмеження API

Найцікавіша частина історії почалася після того, як стандартні методи перестали працювати. Частина API UNCTADstat приймала лише POST-запити, тоді як середовище, у якому працювали агенти, ймовірно, мало суттєві обмеження.

У відповідь агенти почали шукати альтернативні маршрути. Серед іншого вони використовували Urlquery як посередника, сервіси проксіювання запитів та навіть навчальні майданчики Google, створені для демонстрації XSS-вразливостей.

Дослідник також зафіксував використання подвійного URL-кодування. Замість прямого звернення до одного з API-ендпоінтів агенти змінювали його адресу так, щоб запит пройшов через проміжне обмеження, а після повторного декодування сервер усе одно отримав правильну адресу.

За даними дослідження, такий метод спрацював, після чого його використовували ще десятки разів.

ШІ навіть почав маскувати власні запити

Ще більш незвичайну поведінку дослідники помітили 14 травня. Після кількох невдалих спроб агенти, схоже, вирішили, що певні слова у запитах блокуються фільтром.

Тоді вони почали розбивати окремі команди на частини — наприклад, формувати потрібні значення вже під час виконання JavaScript. Дослідник зазначає, що такого фільтра, ймовірно, взагалі не існувало: ШІ міг неправильно інтерпретувати причину помилки та самостійно перейти до методів маскування.

Саме цей епізод робить історію особливо показовою. Агент не просто повторював невдалу операцію, а змінював стратегію та намагався усунути перешкоди, які, на його думку, заважали виконанню поставленого завдання.

Чи справді ШІ «зламав» сайт ООН

Називати інцидент повноцінним зломом було б перебільшенням. Сам автор дослідження прямо зазначає, що не став би однозначно використовувати цей термін. Агенти працювали переважно з публічними статистичними даними, а доказів викрадення закритої інформації в оприлюднених матеріалах немає.

Водночас поведінка була нетиповою для звичайного клієнта API. Агенти продовжували роботу після обмеження частоти запитів, шукали обхідні маршрути та використовували техніки, які з боку адміністратора сервера могли виглядати як дії автоматизованого сканера або атакувальника.

The Wall Street Journal також повідомляє про інцидент, зазначаючи, що автономні агенти понад 16 тисяч разів зверталися до публічного сервісу та застосовували агресивні методи отримання даних.

Чому ця історія важливіша за звичайний збій API

Найважливіше тут не число запитів, а здатність автономного ШІ самостійно змінювати тактику. Сучасному агенту можна поставити відносно просту мету — знайти певні статистичні дані, — але шлях до результату він частково планує сам.

Якщо на цьому шляху з’являється технічна перешкода, достатньо автономна система може спробувати її обійти. Причому, як показує цей випадок, агент не завжди правильно розуміє, чому доступ не працює.

З погляду кібербезпеки це один із головних викликів агентного ШІ. Контроль має поширюватися не лише на кінцеву мету, а й на інструменти, якими модель може користуватися: кількість запитів, доступні HTTP-методи, зовнішні сервіси, можливість виконання коду та правила дій після отримання помилки.