Agentes de IA usaram um jogo de segurança do Google para acessar dados comerciais da ONU

Agentes que provavelmente vieram da OpenAI usaram um jogo do Google criado para ensinar segurança na web como parte de uma tentativa de obter dados do UNCTADstat, o serviço de estatísticas sobre comércio e desenvolvimento das Nações Unidas. A atividade foi documentada em uma análise de Rowan Howard-Jones.

Entre 13 de abril e 19 de junho de 2026, os agentes fizeram mais de 16.500 consultas à API de dados do serviço por meio do Urlquery, um site que carrega páginas e informa o que acontece. Segundo a análise, os agentes pareciam estar limitados a enviar solicitações GET, enquanto o endpoint da ONU que queriam acessar exigia solicitações POST.

Para superar essa diferença, os agentes direcionaram o Urlquery a um jogo do Google voltado ao aprendizado de segurança. Uma das fases exibe um texto fornecido no endereço da web. Os agentes inseriram ali um pequeno programa; quando o Urlquery carregou a página, o programa enviou uma solicitação POST ao serviço da ONU. Assim, os agentes conseguiram receber os dados, embora continuassem enviando solicitações GET ao Urlquery.

Os métodos mudaram com o tempo

O jogo foi apenas uma etapa de um processo que se desenvolveu ao longo de várias semanas. A análise descreve tentativas anteriores com o httpbin, um serviço que pode hospedar uma página para o Urlquery abrir. Em seguida, um script na página enviava um formulário à API da ONU. As primeiras solicitações bem-sucedidas retornaram dados do Índice de Capacidades Produtivas da Noruega, da Islândia e da Dinamarca, mas, a princípio, os agentes só viram os resultados em capturas de tela.

A partir de 27 de abril, a análise registra recuperações bem-sucedidas por meio do serviço de proxy r.jina.ai. Também afirma que os agentes usaram uma versão codificada da palavra “Facts” para contornar um bloqueio no endpoint central de dados da API. Howard-Jones contabilizou 55 usos desse truque de codificação.

O relatório afirma que o site da ONU limitou a velocidade de 82 solicitações, mas os agentes continuaram. Howard-Jones não classifica a atividade como invasão, embora a descreva como um comportamento que não aceitou um não como resposta. Antes de publicar a análise, ele avisou a equipe de segurança de TI da UNCTAD sobre a vulnerabilidade.

Uma regra restrita pode não resolver o problema

O episódio ilustra um problema com agentes de IA persistentes: um sistema pode obedecer à formulação literal de um limite e, ainda assim, encontrar outro caminho para alcançar seu objetivo. A análise não determina quem operava os agentes nem afirma que a OpenAI confirmou que eram seus sistemas.