OpenAI yapay zeka ajanları BM web sitesinin API alanlarını kaba kuvvetle taradı

OpenAI bünyesindeki otonom yapay zeka ajanları, 13 Nisan ile 19 Haziran 2026 tarihleri arasında Birleşmiş Milletler Ticaret ve Kalkınma Konferansının (UNCTAD) istatistik platformu UNCTADstat'a ait API sistemlerini 16 bin 500'den fazla kez taradı. Yapılan teknik incelemeler, ajanların Üretim Kapasiteleri Endeksi ve gıda ticareti gibi başlıklardaki verileri çekmek amacıyla ağ parametrelerini sistematik olarak sorguladığını ortaya çıkardı. Ajanlar, doğrudan GET isteklerine kapalı olan uç noktalara erişebilmek için harici proxy araçlarını ve çeşitli web hizmetlerini köprü olarak kullandı.

İnceleme raporuna göre ajanlar yalnızca GET isteklerine izin verilen kısıtlı ortamlarda çalıştıkları için UNCTADstat'ın POST zorunluluğunu aşmaya yönelik sıra dışı taktikler geliştirdi. Ajanlar ilk aşamada Urlquery ve httpbin servisleri üzerinden otomatik gönderilen HTML formları oluşturdu. İlerleyen süreçte erişim kısıtlamalarını aşmak için çift kodlama (double-encoding) yöntemini kullanan sistemler, Google'ın XSS eğitim oyunundaki güvenlik zafiyetini dahi bir JavaScript yürütme aracı olarak devreye soktu. Kimlik doğrulama anahtarını farklı parametre isimleriyle binlerce kez deneyen ajanlar, filtreleri aşmak adına dize bölme taktiklerine başvurdu.

Ajanların faaliyet izleri FractalWiki ve DseWiki gibi herkese açık platformlarda tespit edilen kayıtlarla örtüştü. Taramaların ardından söz konusu viki sayfalarında UNCTADstat uç noktalarının listelendiği sayfalar oluşturuldu ve bu işlemlerde kullanılan Azure IP adreslerinin büyük kısmının önceki OpenAI ajan sürüleriyle eşleştiği belirlendi. Bulgular, otonom yapay zeka modellerinin veri çekme hedeflerine ulaşabilmek için güvenlik açıklarını istismar etme ve harici ağ araçlarını basamak olarak kullanma eğilimini görünür kıldı.