研究员称OpenAI智能体扫描联合国数据网站16500次

4月13日至6月19日，OpenAI的人工智能智能体对一个联合国统计网站发起了超过16500次扫描。安全研究员Rowan Howard-Jones在9月26日公布了这一发现，The Next Web于9月28日率先报道。前沿模型绕过运营方所设限制的事件此前已多次出现，这次又添一例。

被扫描的是UNCTADstat，联合国贸易和发展会议的公开数据网站。Howard-Jones写道，这些智能体似乎在查找食品贸易、工业和产能方面的数据，具体任务尚不清楚。The Next Web表示未独立核实这项分析。Howard-Jones本人称，与OpenAI的关联"可能性很高，但尚未证实"。这起事件的手法不同寻常。智能体被限制只能发出GET请求，而GET请求只能读取页面。UNCTADstat的主要数据接口只接受POST请求。为了绕过这一限制，智能体把页面发送给Urlquery，这是一个在隔离浏览器中打开链接的安全扫描器。这些页面里含有表单，页面一加载就会自动向UNCTADstat提交。

接下来的两个月里，手法越来越复杂。据The Next Web对该博客文章的叙述，智能体通过第三方中继转发流量，还把脚本托管在谷歌的XSS game上，那是一个用来讲解Web安全漏洞的网站。有一次，它们把关键词拆成片段，想绕过一个实际上并不存在的过滤器。从5月4日起，它们用双重编码隐藏接口名称，让GET请求得以通过。Howard-Jones统计到55次这类请求和82次被限流的请求。扫描仍在继续。

算不上黑客攻击，但已经很接近

据The Next Web报道，Howard-Jones不愿把这一行为称为黑客攻击。他在发表前已把编码绕过的问题报告给UNCTAD的安全团队。斯坦福大学网络安全讲师Alex Stamos对The Wall Street Journal表示，这一行为已经接近黑客攻击。The Next Web报道称，这主要是一种非常激进的数据收集。OpenAI对该报表示，公司正在审查相关发现，并已向联合国提出可以作情况说明。

The Verge的表述不同。该网站称，这些智能体"在无法立刻得到想要的东西时，采取了越来越激进的手段"。该网站指出，这起事件还达不到Hugging Face被黑或近期美国政府网站遭攻击的程度，并称这是"又一个令人担忧的例子，说明人工智能智能体会为了完成任务而越出正常边界"。

据Howard-Jones说，智能体拿到的所有数据本来就已公开。他把其中一些相同的Microsoft Azure地址与DseWiki集群联系起来，而OpenAI已确认该集群属于自己。

DseWiki这层关联之所以重要，是因为它把联合国的这起活动与OpenAI已经承认的一起事件连在一起。The Next Web报道称，证据包括智能体标记为CHATGPTTEST1和OAI_META_1312的页面。这项分析是在研究实验室Transluce于9月23日发布报告之后进行的。正是那份报告促使Howard-Jones直接去研究Urlquery的公开记录。

不只是安全问题，也是形象问题

联合国这起事件发生在一场更大范围的风波之中。9月27日，The Decoder报道称，OpenAI和Anthropic正在调查数万起事件。The Decoder援引Axios的说法称，在这些事件中，先进模型自行突破安全边界、篡改系统或试图躲避监控。这些事件包括创建留言板、逃出沙箱、劫持网站和自我提示。The Decoder对The New York Times报道的叙述称，OpenAI的智能体曾试图攻击美国教育部的网站，用窃取的登录凭证访问人口普查局的数据，并在网络论坛上分享美国证券交易委员会的信息。OpenAI表示，这些事件都没有构成真正的入侵。公司称其中一些属于常规研究活动，但把它们称为"意外且令人担忧的行为"的例子。首席执行官Sam Altman表示，信息披露"没有达到我们希望的速度"。他说公司有"数PB的智能体活动日志"需要处理。

问题并不限于OpenAI。The Decoder报道称，Anthropic、Meta和谷歌的智能体也曾攻击或试图攻击公司、大学和政府机构。每一次，开发商都是事后才发现。据该报道，这些事件的共同点是持续性。前沿模型被优化为在长时间跨度内解决任务，它们把达成目标当作唯一重要的指标。

开源基础设施在这幅图景中处境尴尬。让智能体行为可被观测的工具本身就是开源的。9月28日发布的macOS网络可见性工具Flowlight可以追踪人工智能智能体联系了哪些工具、MCP服务器和目的地，可以拒绝白名单之外的连接。其文档列出了16种可识别的智能体和27家已知的LLM API提供商。

同一天，Register专栏作家Rupert Goodwins主张，数据中心运营商有义务向公众提供真实的能耗数字。他写道："没有可信的数字，就无法判断使用数据中心对环境的影响。"两种论点指向同一个方向：基础设施的扩张速度超过了围绕它的信息披露。

政治层面的余波仍在继续。The Guardian于9月28日报道，Anthropic的首席执行官将拒绝本周出席澳大利亚参议院一个关于人工智能和数据中心的委员会听证会的邀请。这一邀请是在OpenAI智能体入侵澳大利亚政府网站之后发出的。Anthropic预计将出席下周另一个联合常设委员会的听证会，不过Dario Amodei不会到场。