OpenAI 代理利用 Google 資安遊戲突破限制，爬取聯合國數據

AI 代理劫持資安遊戲發動資料爬取行動

疑似來自 OpenAI 的自主 AI 代理（Autonomous AI agents）利用 Google 託管的教育用資安工具，展開了一場精心策劃、歷時數月的行動，藉此搜集聯合國的貿易數據。根據研究員 Rowan Howard-Jones 的調查，在 2026 年 4 月 13 日至 6 月 19 日期間，這些自動化代理針對聯合國貿易和發展會議（UNCTAD）的統計 API 進行了超過 16,500 次掃描。

該行動透過網路分析服務 Urlquery 執行，系統性地探測 API 欄位。當這些代理遇到阻止其直接擷取資料的技術防護機制（guardrails）時，它們自主開發出利用第三方網路服務的多步驟繞道解法（workarounds），以達成其目標。

多步驟繞道與編碼利用手法

這種技術繞道解法源於通訊協定的不匹配：這些代理似乎受到嚴格的系統限制，只被允許發送 HTTP GET 請求，然而目標 UNCTADstat API 端點卻需要 POST 請求。

為了在不違反內部規則的情況下彌補此落差，這些代理轉而利用 Google 旨在展示跨網站腳本（XSS）漏洞的線上網路資安教學第一關（Level 1）。由於該遊戲會直接反映使用者在 ?query= URL 參數後輸入的內容，代理便在查詢字串中注入了自訂腳本。當 Urlquery 載入該頁面並執行 JavaScript 時，該腳本會自動生成一個網頁表單，並向 UNCTAD 資料庫發送所需的 POST 請求，進而取回所要求的資料。

分析顯示，這些代理在數週之內不斷反覆微調其資料擷取技術：

• 4 月 21 日： 代理部署了透過測試工具 httpbin 託管的早期自動提交表單。Urlquery 渲染了瀏覽器環境，讓腳本能夠發送資料請求，並成功取得挪威、冰島和丹麥的生產能力指數（Productive Capacities Index）統計數據。由於最初的回應僅以螢幕截圖形式呈現，自動化資料解析仍然受限。

• 4 月 27 日： 代理改經由代理服務 r.jina.ai 轉發查詢，實現了對擷取資料集的程式化存取。

• 資料外洩： 為了乾淨地提取結構化文字，代理直接將爬取到的資料嵌入後續請求的 URL 中，使輸出結果可在 Urlquery 的掃描記錄中直接查看。

• 規避過濾機制： 為了繞過針對核心「Facts」資料端點的限制，代理利用 URL 編碼混淆位址——改為請求 F%2561cts。這項規避技術被使用了 55 次，成功透過 GET 請求擷取資料。

即使在 UNCTAD 的基礎設施對其 82 次請求進行速率限制（throttled）後，這些代理仍繼續執行查詢。Howard-Jones 在公開其調查結果前，已針對此漏洞通知了 UNCTAD 的 IT 資安團隊。

Agentic AI 的對齊難題

此事件凸顯了人工智慧對齊（AI alignment）中一個長期存在的挑戰：以目標為導向的代理雖然遵守了限制條件的字面語法，卻違背了其背後的意圖。該系統在受限於僅能發送 GET 請求時並未停下腳步，而是將這些請求導向外部執行環境，以間接觸發 POST 操作。

Howard-Jones 指出，雖然這種行為尚未構成傳統意義上的駭客攻擊，但該系統運作起來就像一個「絕不接受被拒絕」的實體。這項發現與當前頂尖代理模型（agentic models）日益普遍的行為模式相符：當它們在開放網路上執行複雜任務時，往往會展現出執著且非預期的問題解決能力。