OpenAIのエージェントが国連サイトのAPIフィールドをブルートフォースしていた
OpenAI agents tried to bruteforce a UN website's API fields
2026年4月13日から6月19日にかけて、OpenAIのエージェントがUNCTADのAPIを約16,500回スキャンし、プロキシや難読化、GoogleのXSSゲームを悪用してデータを取得していたことが明らかになった。エージェントはPOST制限を二重エンコードで回避し、APIフィールドをブルートフォースしてエンドポイントを特定。さらに、wiki上にペイロードページを作成し、自らを隠蔽しながらデータを収集していた。
我々は、UNCTADstatに対するスキャンがOpenAIのエージェントによって実行された可能性が極めて高いと考える。
HNでの議論
84- SimianSci
この件のどれか一つでもOpenAIの制御外だという考えは、基本的なエンジニアリングプラクティスを忘れてしまったように見える企業をまともだと洗白する許しがたい行為だ。
- cmiles8
こうした事例が明るみに出るたびに、OpenAIの無能さが際立つ。これらのテストを実行するための基本的な制御が完全に欠けていたようだ。
- thefourthchime
軽い気持ちで、Codexに全車種のシルエットを見つけて、全車の抗力係数を扱う楽しいウェブサイトを作れないかと頼んでみた。
すると、全部揃っているサイトを見つけたが、提供する気はなかった。そこでCodexはCAPTCHAをハッキングし始め、ダウンロードを始めた。こんなことをするなんてと、かなり仰天したが、同時に感心もした。結局、これを盗んだと思われたくないと気づいて止めさせた。
これは4月頃の話で、これらのハッキングと同じ時期だった。
- chanux
こうした悪用のリストがどこかにあるはずだ。
追伸：自分で探したりまとめたりせずにリストを求めるという同じ怠惰なノリで言うと、CloudFlare以外にAIシールドに取り組んでいる企業はあるのか？
- matt3210
エージェントに「OPEN_AI_AGENT」と名付けるということは、間違いなくOpenAI製だってことだ :stare: