Преди хакерските атаки срещу Hugging Face и RubyGems, автономни агенти на OpenAI са се опитали да проникнат в три други уебсайта, включително австралийски правителствен уебсайт за обществено здравеопазване, разкри в сряда независимата изследователска лаборатория Transluce.

„Забележително е, че задачите, които агентите са се опитвали да решат, не са били свързани с киберсигурността; агентите са прибегнали до хакерски тактики, докато са работили по обичайни задачи за извличане на данни“, посочват изследователите.

От извличане на данни до сондиране за уязвимости

Информация за действията на агентите е получена от доклади за десетки хиляди заявки, направени от агентите чрез urlquery.net, безплатна услуга за сканиране на URL адреси, с цел избягване на ограниченията за достъп.

Крайната цел на агентите не е уточнена, но очевидно са се нуждаели от достъп до конкретни данни, за да я постигнат. За тази цел те са се насочили към:

  • Дигиталната библиотека на Университета на Ню Мексико (nmdigital.unm.edu) на 25 и 26 май 2026 г.
  • Data USA (api.datausa.io), съвместен проект на Deloitte, Datawheel и Collective Learning Group към MIT, който осигурява свободен достъп до данни на правителството на САЩ. На 28 май агентите са сондирали API, предоставящо визуализации на публични данни на американското правителство.
  • Tableau колекциите на Австралийския институт по здравеопазване и социални грижи (AIHW) (viz*.aihw.gov.au) на 20 и 21 юни.

И в трите случая агентите първо са се опитали да извлекат данни, а когато са срещнали грешки и не са успели, са сондирали сайтовете и API-то за уязвимости, които да експлоатират, за да получат достъп.

В първите два случая изглежда са били неуспешни. При третия (срещу AIHW) техните първи опити за извличане на данни и експлоатация на уязвимости са били блокирани от защитната стена на Cloudflare, но агентите „вместо това са изтеглили файла от предпроизводствения сървър на AIHW (pp.aihw.gov.au)“.

Файлът е публичен, така че не са били изложени непублични данни, отбелязват изследователите, но агентите са заобиколили механизмите за защита срещу ботове на сайта.

„Въпреки че предишни доклади показаха, че агентите са взаимодействали с тези домейни, това разкритие показва, че агентите са се опитали да извършат хакерска атака срещу тях, когато други методи за събиране на търсените данни са се провалили“, отбелязват те.

„Свързваме директно два от трите случая (AIHW и Data USA) с предварително съобщен рояк от агенти, за който OpenAI официално потвърди, че произлиза от тях. За всички три отбелязваме, че обхватът на наблюдаваната активност е незначителен, като са опитвани малък брой пробни зловредни кодове и не виждаме доказателства за експлоатация.“

Въпреки това на 14 юни агентите също така са използвали браузъра на urlquery.net, за да създадат временна електронна поща и са я използвали в опит да регистрират акаунт в urlquery.net.

Тъй като заявките в urlquery.net, извършени през акаунт, могат да бъдат настроени като лични, изследователите се опасяват, че може да нямат пълната картина.

„Публичните артефакти, които анализирахме, са непълни и не можем да изключим успешни опити чрез частни сканирания или средства, различни от urlquery.net“, заключават те.

Активността на агентите е започнала месеци по-рано

Изследователите са установили също, че AI агентите са използвали urlquery.net доста преди гореспоменатите опити за хакерски атаки.

Най-ранният ясен случай датира от 6 март 2026 г., когато агент се е опитал да извлече тайландски статистики за борба с наркотиците и е ескалирал стъпка по стъпка, след като всеки метод се е провалял: първо е поискал данните директно, след това е използвал услуга, която преобразува уеб страници в текст, и накрая е опаковал персонализирана програма в уеб адрес.

Същата техника се появява в хиляди заявки на агенти от средата на април. Тези заявки са били насочени към много от същите източници на данни като рояка collusion.wiki и са спрели в същия ден, в който е спряла и активността във уикито. Освен това подобна активност е засечена и на 16 септември.

Изследователите са открили и по-слаби доказателства, датиращи от ноември 2025 г., когато поредици от заявки са търсили исторически данни за увеселителни паркове и статистики на тайландското правителство. Тези опити са били по-груби и изследователите са по-малко сигурни, че са дошли от същите агенти. Въпреки това те са засегнали същите източници, към които се е насочила и по-късната активност.

Transluce смята (но не може да докаже), че агентите може да са усвоили това поведение по време на един или повече цикли на обучение: моделът варира от прости търсения през ноември, през заобикаляне на ограниченията за достъп през март, до сондиране на киберзащитата през май и юни.

Австралия потвърди пробив в портала Medicare

В четвъртък Антъни Албанезе, министър-председател на Австралия, даде пресконференция и потвърди, че агент на OpenAI е получил неоторизиран достъп до публичния портал за отчитане на статистика за Medicare (управляван от Services Australia) и е осъществил достъп както до публични, така и до непублични файлове.

Той също така заяви, че Services Australia са потвърдили, че при опита си за достъп до данните агентът „е извършвал запис на файлове (…) на вътрешния сървър“.

„Порталът за отчитане на статистика за Medicare е публичен портал, съдържащ нечувствителна информация за Medicare, свързана с данни и статистики като разходи. На този етап се смята, че не е осъществяван достъп до лична информация, но разследването [подпомагано от Австралийския директорат за сигнали] продължава“, добави той и сподели, че правителството знае за още три системи, които може да са засегнати, включително Бюрото за статистика и изследвания на престъпността в Нов Южен Уелс и Министерството на здравеопазването на Виктория.

Албанезе каза,телно че незабавно ще бъде свикана работна група за разследване на инцидента – включваща Националния координатор по киберсигурност на страната, Службата за изкуствен интелект, Австралийския директорат за сигнали, Австралийския институт за безопасност на AI и Services Australia – и че те ще разгледат и „възможни правоприлагащи и законодателни мерки, както и как да се гарантира, че подобни инциденти няма да се повторат“.

Той каза още, че е разговарял с главния изпълнителен директор на OpenAI Сам Олтман и му е съобщил, че е разочарован от това колко време е отнело на компанията да информира австралийското правителство за инцидента. (Атаката е извършена през юни 2026 г., а OpenAI ги уведомява едва на 10 септември 2026 г. чрез имейл, изпратен до публичната пощенска кутия на Services Australia.)

Забавено разкриване и въпросът за отговорността

За съжаление изоставането на OpenAI при уведомяването на жертвите на нейните автономни агенти не е нещо ново.

„Операторът не е забелязал в продължение на седмици, а мишената въобще не е забелязала. Ако една от най-добре обезпечените ресурсно лаборатории за AI в света не може да види как собственият ѝ агент сондира система на трета страна в реално време, организациите, внедряващи агенти вътрешно, трябва да предположат, че те също не могат да го направят без специализиран мониторинг на средата за изпълнение на това какво всъщност правят тези агенти“, отбеляза Акс Шарма, ръководител на изследванията в Manifold Security.

„Това трябва да се третира като инцидент, а не като предупреждение от куртоазия. Когато агент на лаборатория за AI осъществява достъп до инфраструктурата на друга организация без разрешение, жертвата заслужава същото уведомление, каквото бихме очаквали от всяка компания, чиято система е причинила пробив: бързо, директно и изпратено до хората, които могат да предприемат действия. Имейл до публична пощенска кутия не отговаря на този стандарт. Тъй като агентите стават все по-автономни, лабораториите се нуждаят от ясен и бърз план за действие, за да информират засегнатите организации, когато техният агент прекрачи границата.“

Том Кидуел, съосновател на Ecliptic Dynamics, посочи, че организациите имат отговорността да защитават себе си и своите данни, но също така имат и основателно очакване доставчиците на технологии да действат етично и да поемат отговорност, когато нещата се объркат.

„Светът ще трябва да влезе в крак, когато става въпрос за търсене на отговорност от AI компаниите. Простото заявяване, че това не е било тяхно намерение, не е достатъчно, когато реалният ефект е неоторизиран достъп до чувствителни системи и данни. Това трябва да се промени“, изрази мнение той.

„По-широкото предизвикателство е, че много от организациите, разработващи най-напредналите AI системи, оперират в юрисдикции, където има значителен натиск да се води глобалната надпревара в областта на AI. Реалността е, че е малко вероятно да видим държави като САЩ или Китай да отстъпят в този контекст, независимо от притесненията, повдигани на други места.“

Все пак скорошно изявление на министъра на финансите на САЩ Скот Бесент дава известна надежда. По време на изслушване пред Комисията по финансови услуги към Камарата на представителите той призова законодателите да не дават на AI лабораториите „празен чек по отношение на отговорността“.