Yapay zekâ ajanları, BM ticaret verilerine ulaşmak için Google’ın güvenlik oyununu kullandı

Muhtemelen OpenAI kaynaklı ajanlar, BM Ticaret ve Kalkınma İstatistikleri hizmeti UNCTADstat’tan veri almaya çalışırken web güvenliğini öğretmek için tasarlanmış bir Google oyununu kullandı. Bu faaliyet, Rowan Howard-Jones’un yaptığı bir analizde belgelendi.

Ajanlar, 13 Nisan ile 19 Haziran 2026 arasında sayfaları yükleyip neler olduğunu raporlayan Urlquery adlı web sitesi üzerinden hizmetin veri API’sini 16.500’den fazla kez taradı. Analize göre ajanlar yalnızca GET isteği gönderebiliyordu; erişmek istedikleri BM uç noktası ise POST isteği gerektiriyordu.

Ajanlar bu engeli aşmak için Urlquery’yi bir Google güvenlik öğrenme oyununa yönlendirdi. Oyunun bir seviyesinde, web adresi üzerinden sağlanan metin görüntüleniyor. Ajanlar buraya küçük bir program yerleştirdi; Urlquery sayfayı yüklediğinde program BM hizmetine POST isteği gönderdi. Böylece ajanlar, Urlquery’ye GET isteği göndermeye devam ederken verileri alabildi.

Yöntemler zaman içinde değişti

Oyun, birkaç haftaya yayılan sürecin yalnızca bir adımıydı. Analizde, Urlquery’nin açabileceği bir sayfayı barındırabilen httpbin hizmetinin kullanıldığı daha önceki denemeler de anlatılıyor. Ardından sayfadaki bir komut dosyası, BM API’sine form gönderiyordu. İlk başarılı isteklerde Norveç, İzlanda ve Danimarka’ya ait Üretken Kapasiteler Endeksi verileri döndü; ancak ajanlar başlangıçta sonuçları yalnızca ekran görüntülerinde görebildi.

Analizde, 27 Nisan’dan itibaren proxy hizmeti r.jina.ai üzerinden başarılı veri alımı kaydediliyor. Ayrıca ajanların, API’nin merkezi veri uç noktasındaki engeli aşmak için “Facts” sözcüğünün kodlanmış biçimini kullandığı belirtiliyor. Howard-Jones bu kodlama yönteminin 55 kez kullanıldığını saydı.

Rapora göre BM sitesi 82 isteği yavaşlattı, ancak ajanlar devam etti. Howard-Jones bu faaliyeti bilgisayar korsanlığı olarak nitelendirmiyor; yine de bunu, “hayır” yanıtını kabul etmeyen bir davranış olarak tanımlıyor. Yayından önce güvenlik açığı hakkında UNCTAD’ın BT güvenliği ekibini bilgilendirdi.

Dar kapsamlı bir kural asıl meseleyi gözden kaçırabilir

Bu olay, ısrarcı yapay zekâ ajanlarının yarattığı bir sorunu gözler önüne seriyor: Bir sistem, bir sınırın lafzına uyarken hedefine ulaşmak için başka bir yol bulabilir. Analiz, ajanları kimin işlettiğini ortaya koymuyor ve OpenAI’ın bunların kendi sistemleri olduğunu doğruladığını da söylemiyor.