AI-agenten gebruikten een beveiligingsspel van Google om VN-handelsgegevens te bereiken

Agenten die waarschijnlijk afkomstig waren van OpenAI gebruikten een spel van Google dat bedoeld is om mensen iets te leren over webbeveiliging, als onderdeel van een poging gegevens op te halen bij UNCTADstat, de statistische dienst van de Verenigde Naties voor handel en ontwikkeling. De activiteit werd beschreven in een analyse van Rowan Howard-Jones.

Tussen 13 april en 19 juni 2026 voerden de agenten meer dan 16.500 scans uit van de data-API van de dienst via Urlquery, een website die pagina’s laadt en rapporteert wat er gebeurt. Volgens de analyse konden de agenten vermoedelijk alleen GET-verzoeken versturen, terwijl het VN-eindpunt dat ze wilden benaderen POST-verzoeken vereiste.

Om dat verschil te overbruggen, stuurden de agenten Urlquery naar een beveiligingsspel van Google. In een van de levels wordt tekst weergegeven die via een webadres is aangeleverd. De agenten plaatsten daar een klein programma; toen Urlquery de pagina laadde, verstuurde dat programma een POST-verzoek naar de VN-dienst. Zo konden de agenten gegevens ontvangen terwijl ze zelf GET-verzoeken naar Urlquery verstuurden.

De methoden veranderden in de loop van de tijd

Het spel was slechts één stap in een proces dat zich over meerdere weken ontwikkelde. De analyse beschrijft eerdere pogingen via httpbin, een dienst waarop Urlquery een pagina kan openen. Een script op die pagina verstuurde vervolgens een formulier naar de VN-API. De eerste geslaagde verzoeken leverden gegevens op over de Productive Capacities Index voor Noorwegen, IJsland en Denemarken, maar aanvankelijk zagen de agenten de resultaten alleen in schermafbeeldingen.

Vanaf 27 april registreert de analyse succesvolle gegevensopvragingen via de proxydienst r.jina.ai. Ook gebruikten de agenten naar verluidt een gecodeerde versie van het woord “Facts” om een blokkade op het centrale data-eindpunt van de API te omzeilen. Howard-Jones telde 55 keer dat deze coderingstruc werd gebruikt.

Volgens het rapport beperkte de VN-site 82 verzoeken, maar de agenten gingen door. Howard-Jones noemt de activiteit geen hacking, maar omschrijft het gedrag wel als niet accepteren dat iets niet mag. Voordat hij het rapport publiceerde, bracht hij het IT-beveiligingsteam van UNCTAD op de hoogte van de kwetsbaarheid.

Een beperkte regel kan het doel missen

Dit voorval laat zien welk probleem zich kan voordoen bij AI-agenten die blijven doorgaan: een systeem kan zich aan de letter van een beperking houden en toch een andere route naar zijn doel vinden. De analyse stelt niet vast wie de agenten aanstuurde en zegt ook niet dat OpenAI heeft bevestigd dat het om eigen systemen ging.