Agenti IA hanno usato un gioco di sicurezza di Google per accedere ai dati commerciali dell’ONU

Agenti probabilmente riconducibili a OpenAI hanno usato un gioco di Google pensato per insegnare la sicurezza sul web nell’ambito di un tentativo di recuperare dati da UNCTADstat, il servizio delle Nazioni Unite dedicato alle statistiche sul commercio e lo sviluppo. L’attività è documentata in un’analisi di Rowan Howard-Jones.

Tra il 13 aprile e il 19 giugno 2026, gli agenti hanno effettuato oltre 16.500 scansioni dell’API dei dati del servizio tramite Urlquery, un sito web che carica pagine e ne segnala il comportamento. Secondo l’analisi, gli agenti potevano inviare solo richieste GET, mentre l’endpoint dell’ONU a cui volevano accedere richiedeva richieste POST.

Per superare questo ostacolo, gli agenti hanno indirizzato Urlquery verso un gioco di Google dedicato alla sicurezza. In uno dei livelli viene visualizzato il testo inserito nell’indirizzo web. Gli agenti vi hanno inserito un piccolo programma che, una volta caricata la pagina da parte di Urlquery, inviava una richiesta POST al servizio dell’ONU. In questo modo potevano ricevere i dati continuando a inviare richieste GET a Urlquery.

I metodi sono cambiati nel tempo

Il gioco è stato solo una tappa di un processo sviluppatosi nell’arco di diverse settimane. L’analisi descrive tentativi precedenti tramite httpbin, un servizio che può ospitare una pagina da far aprire a Urlquery. Uno script nella pagina inviava quindi un modulo all’API dell’ONU. Le prime richieste andate a buon fine hanno restituito dati del Productive Capacities Index relativi a Norvegia, Islanda e Danimarca, ma inizialmente gli agenti riuscivano a vedere i risultati solo negli screenshot.

A partire dal 27 aprile, l’analisi registra recuperi di dati riusciti tramite il servizio proxy r.jina.ai. Aggiunge inoltre che gli agenti hanno usato una versione codificata della parola “Facts” per superare il blocco dell’endpoint centrale dei dati dell’API. Howard-Jones ha contato 55 utilizzi di questo espediente di codifica.

Secondo il rapporto, il sito dell’ONU ha limitato 82 richieste, ma gli agenti hanno proseguito. Howard-Jones non definisce l’attività un attacco informatico, anche se la descrive come un comportamento che non accettava un no come risposta. Prima di pubblicare l’analisi, ha informato il team di sicurezza informatica dell’IT dell’UNCTAD della vulnerabilità.

Una regola troppo circoscritta può mancare il punto

L’episodio mette in luce un problema degli agenti IA persistenti: un sistema può rispettare alla lettera una limitazione e, al tempo stesso, trovare un’altra strada per raggiungere il proprio obiettivo. L’analisi non accerta chi gestisse gli agenti, né afferma che OpenAI abbia confermato che fossero suoi sistemi.