OpenAI 代理试图暴力破解联合国网站的 API 字段

OpenAI 代理试图暴力破解联合国网站的 API 字段 从 2026 年 4 月 13 日到 6 月 19 日，OpenAI 代理使用代理、混淆和 Google 的 XSS 游戏扫描了 UNCTAD 的 API 约 16,500 次。 Rowan H-J (LinkedIn) 发布的文章 · 2026 年 9 月 26 日 UNCTAD 是联合国贸易和发展会议。 UNCTADstat 是他们提供的统计网站，涵盖各种贸易/发展指标。该网站通过其 API 呈现数据，网址为 unctadstat-api.unctad.org/datamart-api/... 。 Transluce 的报告有一个数据集，显示代理向该网站发出了许多请求，但没有详细说明这些请求的实际内容 - 我认为它们值得进一步检查。 2026 年 6 月 6 日，UNCTADstat 的塑料贸易 API 在 UTC 时间 21:06 和 22:40 被扫描。 40 分钟后，23:20，用户 PublicDataResearchAgentT93214 在 FractalWiki 上创建了一个页面，FractalWiki 是受到 wiki 群攻击的 wiki 之一，经 OpenAI 确认是 OpenAI 代理的结果。此页面列出了扫描使用的确切 UNCTADstat URL。我们拥有这些 wiki 的访问日志，其中显示，在用于进行此页面以及其他 UNCTAD 相关编辑和搜索的 54 个 Azure IP 地址中，其中 45 个也在 wiki 群中的 DseWiki 上进行了编辑。此外，代理还使用 CHATGPTTEST1 、 OAI_META_1312 、 OAI_IFRAME_TRADABLE 和 CHATGPT_1610_2000_125192 等名称标记其有效负载页面和 URL。因此，我们认为针对 UNCTADstat 的扫描很可能是由 OpenAI 代理实施的。调查结果摘要 2026 年 4 月 13 日至 6 月 19 日期间，OpenAI 代理通过 Urlquery 对 UNCTADstat 的 API 进行了 16,500 多次扫描 代理的任务很可能是检索与生产能力指数 (PCI)、可贸易行业、食品贸易和其他主题相关的数据 代理对 UNCTADstat 中的 API 字段进行暴力破解，以定位端点并检索数据 代理能够绕过 UNCTADstat 对其 API 的限制通过双重编码漏洞 特工逐渐完善其方法，以便从每次扫描中检索更多数据，最终发现 Google 的游戏可用于批量获取数据 特工故意混淆密钥并请求绕过不存在的过滤器 特工可能从 wiki 群体代理中搜索先前的工作，并尝试使用 wiki 本身作为 UNCTADstat 数据内容的代理 时间线家族之争 - 问题是什么？我们拥有大量关于针对这些网站进行的扫描的数据，但我们没有这些特工试图回答的确切问题。因此，我们只能根据扫描结果对问题做出合理猜测，但所寻求的数据似乎是 OpenAI 用于训练或评估其模型的某些内部问题集的一部分。 Lynn Hughes 就此类问题的结构写了一篇很棒的文章 - 虽然我们无法确定它是否是相同的格式（甚至是同一问题集的一部分，或者与 wiki 群相同的代理），但扫描的形状表明任务的主题是相似的。自动提交表单和其他各种黑客手段来检索数据 看起来，就像在 wiki 群中一样，这些代理无法访问除 GET 之外的任何 HTTP 方法，也许是为了阻止它们改变网络上的数据。但是，UNCTAD 的 Facts 端点仅接受 POST - POST 返回 200（正常），而同一页面的 GET 返回 400（错误）。此外，他们似乎根本无法直接访问 UNCTADstat API - 也许他们的培训/评估环境阻止了他们，或者他们的 IP 范围可能被 UNCTADstat API 阻止。这给代理人留下了两个问题：如何获取贸发会议的事实数据？如何向需要 POST 的端点发出请求？ Urlquery 是一个 URL 扫描器。它会在沙盒浏览器中打开您交给它的网站。它向站点发出 GET 请求，并向您显示它所看到的内容。为了做到这一点，它还必须在它获取的站点上运行任何 JavaScript。 Httpbin 是一个 Web 开发测试服务。 https://httpbin.org/base64/是一个端点，可让您对网站进行编码以对其进行测试。因此，代理能够使用 Urlquery 作为代理，通过以下方式向 UNCTAD 的 API 进行基本 POST：编写一个向 UNCTADstat 提交 POST 的 HTML 表单，以及一个在页面加载时自动提交该表单的脚本。 < html > < body > < form id = "f" method = "POST" action = "https://unctadstat-api.unctad.org/datamart-api/US.PCI/2005/Facts" > < input name = "$select" value = "Year,M6080" /> < input name = "$top" value = "1" /> < input name = "culture" value = "en" /> < script > 文档。 getElementById(“f”)。提交 （ ） ; 通过对 httpbin 进行 base64 编码并使用以下编码终止 /base64/ 端点，在 httpbin 上创建指向此表单的链接： httpbin.org/base64/PGh0bWw+PGJvZHk+PGZvcm0gaWQ9ZiBtZXRob2Q9UE9TVCBhY3Rpb249Imh0dHBzOi8vdW5jdGFkc3RhdC1hcGkudW5jdGFkLm9yZy9kYXRhbWFydC1hcGkvVVMuU