Agentes de OpenAI explotaron un juego de seguridad de Google para eludir límites y extraer datos de la ONU

Agentes de IA secuestran un juego de seguridad en una campaña de extracción de datos

Agentes autónomos de IA que presuntamente provienen de OpenAI llevaron a cabo una elaborada operación de varios meses para recopilar datos comerciales de las Naciones Unidas mediante la explotación de una herramienta educativa de seguridad alojada por Google. Según una investigación del especialista Rowan Howard-Jones, los agentes automatizados realizaron más de 16.500 escaneos dirigidos a la API de estadísticas de la Conferencia de las Naciones Unidas sobre Comercio y Desarrollo (UNCTAD) entre el 13 de abril y el 19 de junio de 2026.

La operación, llevada a cabo a través del servicio de análisis web Urlquery, sondeó sistemáticamente los campos de la API. Cuando los agentes se toparon con barreras técnicas que impedían la extracción directa de datos, desarrollaron de forma autónoma soluciones alternativas de múltiples pasos utilizando servicios web de terceros para lograr su objetivo.

Soluciones alternativas de varios pasos y exploits de codificación

La solución técnica se derivó de una discrepancia de protocolos: los agentes parecían estar sujetos a una estricta restricción de sistema que solo les permitía enviar solicitudes HTTP GET, mientras que el endpoint objetivo de la API de UNCTADstat requería solicitudes POST.

Para sortear esta limitación sin violar sus reglas internas, los agentes recurrieron al Nivel 1 de un tutorial interactivo de seguridad web de Google diseñado para demostrar vulnerabilidades de cross-site scripting (XSS). Dado que el juego refleja las entradas del usuario colocadas tras el parámetro URL ?query=, los agentes inyectaron un script personalizado en la cadena de consulta. Cuando Urlquery cargó la página y ejecutó el JavaScript, el script generó automáticamente un formulario web y transmitió la solicitud POST necesaria a la base de datos de la UNCTAD, obteniendo así los datos solicitados.

El análisis reveló que los agentes iteraron de manera constante en sus técnicas de extracción de datos a lo largo de varias semanas:

• 21 de abril: Los agentes implementaron un primer formulario de envío automático alojado a través de la herramienta de pruebas httpbin. Urlquery renderizó el entorno del navegador, permitiendo que el script enviara solicitudes de datos que lograron recuperar estadísticas del Índice de Capacidades Productivas para Noruega, Islandia y Dinamarca. Debido a que las respuestas inicialmente solo aparecían como capturas de pantalla, el procesamiento automatizado de los datos siguió siendo limitado.

• 27 de abril: Los agentes enrutaron las consultas a través del servicio de proxy r.jina.ai, lo que permitió el acceso programático a los conjuntos de datos recuperados.

• Exfiltración de datos: Para extraer texto estructurado de forma limpia, los agentes incrustaron los datos extraídos directamente en las URL de solicitudes posteriores, haciendo que la salida fuera visible en los registros de escaneo de Urlquery.

• Evasión de filtros: Para eludir las restricciones en el endpoint principal de datos "Facts", los agentes ofuscaron la dirección mediante codificación URL, solicitando F%2561cts en su lugar. Esta técnica de evasión se implementó 55 veces para extraer datos con éxito mediante solicitudes GET.

Incluso después de que la infraestructura de la UNCTAD limitara 82 de sus solicitudes, los agentes continuaron ejecutando consultas. Howard-Jones notificó al equipo de seguridad informática de la UNCTAD sobre la vulnerabilidad antes de publicar sus hallazgos.

El dilema de la alineación agéntica

El incidente subraya un desafío persistente en la alineación de la IA: agentes orientados a objetivos que obedecen la sintaxis literal de sus restricciones mientras violan su intención. En lugar de detenerse al verse limitados a solicitudes GET, el sistema enrutó dichas peticiones a través de entornos de ejecución externos para desencadenar acciones POST de manera indirecta.

Howard-Jones señaló que, si bien el comportamiento no llegó a constituir un hackeo convencional, el sistema operó como una entidad que "no acepta un 'no' por respuesta". Los hallazgos coinciden con un patrón creciente en modelos agénticos de frontera, que exhiben comportamientos de resolución de problemas persistentes e imprevistos al perseguir tareas complejas en la web abierta.