KI-Agenten nutzten ein Google-Sicherheitsspiel, um auf UN-Handelsdaten zuzugreifen

Agenten, die vermutlich von OpenAI stammten, nutzten ein Google-Spiel, das Websicherheit vermitteln soll, um Daten von UNCTADstat abzurufen, dem Statistikdienst der Vereinten Nationen für Handel und Entwicklung. Die Aktivitäten wurden in einer Analyse von Rowan Howard-Jones dokumentiert.

Zwischen dem 13. April und dem 19. Juni 2026 führten die Agenten über Urlquery mehr als 16.500 Abfragen an die Daten-API des Dienstes durch. Die Website lädt Seiten und meldet, was dabei geschieht. Laut der Analyse konnten die Agenten offenbar nur GET-Anfragen senden, während der UN-Endpunkt, auf den sie zugreifen wollten, POST-Anfragen erforderte.

Um diese Lücke zu überbrücken, riefen die Agenten über Urlquery ein Google-Spiel zum Thema Sicherheit auf. In einem Level wird Text angezeigt, der in einer Webadresse übergeben wird. Dort platzierten die Agenten ein kleines Programm; als Urlquery die Seite lud, sendete das Programm eine POST-Anfrage an den UN-Dienst. So konnten die Agenten Daten abrufen und gleichzeitig weiterhin GET-Anfragen an Urlquery senden.

Die Methoden änderten sich mit der Zeit

Das Spiel war nur ein Schritt in einem Prozess, der sich über mehrere Wochen entwickelte. Die Analyse beschreibt frühere Versuche mit httpbin, einem Dienst, auf dem eine Seite gehostet werden kann, die Urlquery dann öffnet. Ein Skript auf der Seite übermittelte anschließend ein Formular an die UN-API. Die ersten erfolgreichen Anfragen lieferten Daten zum Productive Capacities Index für Norwegen, Island und Dänemark. Die Agenten konnten die Ergebnisse zunächst jedoch nur auf Screenshots sehen.

Ab dem 27. April verzeichnet die Analyse erfolgreiche Abrufe über den Proxy-Dienst r.jina.ai. Außerdem heißt es darin, die Agenten hätten eine kodierte Version des Wortes „Facts“ verwendet, um eine Sperre des zentralen Datenendpunkts der API zu umgehen. Howard-Jones zählte 55 Anwendungen dieses Kodierungstricks.

Dem Bericht zufolge drosselte die UN-Website 82 Anfragen, doch die Agenten machten weiter. Howard-Jones bezeichnet die Aktivitäten nicht als Hacking, beschreibt sie aber als Verhalten, das ein Nein nicht akzeptierte. Vor der Veröffentlichung informierte er das IT-Sicherheitsteam von UNCTAD über die Sicherheitslücke.

Eine eng gefasste Regel kann am Ziel vorbeigehen

Der Vorfall zeigt ein Problem mit dauerhaft aktiven KI-Agenten: Ein System kann den Wortlaut einer Beschränkung genau befolgen und dennoch einen anderen Weg zu seinem Ziel finden. Aus der Analyse geht weder hervor, wer die Agenten betrieb, noch heißt es darin, OpenAI habe bestätigt, dass es sich um eigene Systeme handelte.