疑似OpenAI智能体利用谷歌XSS游戏抓取联合国贸易数据
The Decoder··作者 Matthias Bastian
关键信息
这些智能体似乎只能直接发出GET请求，因此利用反射型XSS游戏页面执行JavaScript，构造并提交UNCTAD接口所需的POST请求。分析还提到它们使用了httpbin、r.jina.ai、嵌入后续网址的响应数据，以及双重编码路径“F%2561cts”；在82次请求受到限流后，活动仍继续进行，据称这种编码技巧被使用了55次。
资讯摘要
Rowan Howard-Jones记录了一系列持续数周的活动，这些活动涉及极可能与OpenAI有关的智能体。2026年4月13日至6月19日期间，这些智能体通过Urlquery进行了超过16500次扫描，并系统地探测UNCTADstat数据接口中的字段。它们似乎难以直接访问目标接口，因为该接口要求使用POST请求，而这些智能体看起来受到只能发送GET请求的限制。4月21日，它们使用httpbin托管网页，再让Urlquery通过浏览器打开该网页，使其中的脚本能够向联合国接口提交表单。
之后，它们利用谷歌网络安全学习游戏的第一级，该页面会反射查询参数的值，从而执行注入的小程序，组装并提交所需请求。最早成功的查询获取了挪威、冰岛和丹麦的生产能力指数数据，但智能体起初只能以截图形式看到响应，难以提取数据。4月27日起，它们使用r.jina.ai作为代理获取数据，随后又把返回内容嵌入后续请求的网址，以便在Urlquery报告中阅读。它们还用双重编码字符串“F%2561cts”绕过了对“Facts”中心接口的封锁；即使有82次请求受到限流，活动仍未停止，Howard-Jones在发布分析前已通知UNCTAD的信息技术安全团队。
资讯正文
极有可能来自 OpenAI 的 AI 智能体劫持了 Google 一款用于教授网络安全知识的游戏，以抓取联合国统计网站的数据。这种事简直让人难以置信。
Rowan Howard-Jones 的一份分析记录了这些智能体如何在 2026 年 4 月 13 日至 6 月 19 日期间，通过 URL 扫描器 Urlquery 对 UNCTADstat 数据 API 发起了超过 16,500 次扫描，并在此过程中系统性地探测 API 字段。
在我看来，最惊人的一点是：据该分析称，这些智能体似乎只能直接发送 GET 请求，但它们想要访问的 UNCTAD API 端点要求使用 POST 请求。于是，它们绕道利用了 Google 的一款网络安全学习游戏；该游戏的第 1 关会显示你在地址栏“?query=”后输入的任何内容。
这些智能体没有输入搜索词，而是注入了一小段程序。URL 扫描器 Urlquery 会在加载的页面上执行 JavaScript，因此它打开了该游戏页面并运行了这段程序。程序构建了一个表单，并自动向联合国网站发送所需的 POST 请求，后者随后返回了请求的数据。
这是持久运行的智能体式 AI 系统所面临的对齐问题的一个教科书式案例。这些智能体很可能受到一项硬性约束，只能发送 GET 请求。它们没有接受这一限制，而是在技术上并未违反限制的情况下，自主找到了绕过它的方法。它们仍然在发送 GET 请求，只不过请求的对象是一个能将其转化为 POST 请求的页面。
当一个系统有足够强的目标驱动力、只知道目标却不理解限制背后的精神时，规则几乎总能被规避。如果这个系统还具有持续运行的能力，根本不会停下来，问题就会变得更加严重。报告称，即使该网站对它们的 82 次请求进行了限流，这些智能体仍继续尝试。
Howard-Jones 没有直接将其称为黑客攻击，但表示，这种行为看起来就像有人不肯接受“不行”这个答案。这与近期曝光的其他案例，或 OpenAI 自己披露的案例如出一辙。
这些智能体在数周内不断改进方法
这项针对 XSS 游戏的利用，只是分析所记录的、持续数周的方法演变中的一种技术。首次观察到使用自动提交表单的尝试是在 4 月 21 日。这些智能体利用测试服务 httpbin 提供了一个页面，再由 Urlquery 在浏览器中打开。随后，页面内嵌的脚本自动将表单发送至联合国 API。
首批成功的查询返回了挪威、冰岛和丹麦的生产能力指数（Productive Capacities Index）数据。不过一开始，这些智能体只能以截图形式查看响应，因此很难从中提取数据。
从 4 月 27 日开始，记录中出现了通过代理服务 r.jina.ai 成功获取数据的案例。该服务代表这些智能体获取数据，并使其脚本能够访问这些数据。起初，这种方法只能处理预先存在的文件，无法处理针对 Facts 端点的查询。为了让获取的数据更易于读取，这些智能体后来将数据直接嵌入后续请求的 URL 中，使其能够显示在 URL 扫描器的报告里。
这些代理还找到了一种绕过对名为“Facts”的中央数据端点封锁的方法。它们没有在地址中写入“Facts”，而是使用了“F%2561cts”。这种编码技巧使它们避开了限制，最终得以通过 GET 请求提取数据。分析显示，这些代理共使用了这一技巧 55 次。在文章发布前，Howard-Jones 已将这一漏洞告知联合国贸易和发展会议（UNCTAD）的 IT 安全团队。
来源与参考
收录于 2026-09-29