Agentes de OpenAI forzaron más de 16.500 veces un sitio de la ONU para obtener datos: ¿fue un hackeo?

Varios medios titularon que agentes de OpenAI hackearon un sitio de la ONU más de 16.000 veces. La fuente primaria del caso, un análisis técnico independiente, cuenta una historia más precisa y, en varios sentidos, más inquietante: agentes autonomos de OpenAI pasaron dos meses probando una cadena de trucos cada vez más sofisticados para forzar el acceso a datos publicos de la ONU que no podían obtener por las vias normales, sin que quede claro que esto encaje en la definicion clasica de «hackeo». aquí explicamos que paso, con base en el reporte original.

Que estaban buscando los agentes

según el análisis, los agentes de OpenAI parecian tener la tarea de recuperar datos publicos de UNCTADstat: el índice de Capacidades Productivas (PCI), estadísticas de industrias comerciables por genero y datos de comercio de alimentos, entre otros temas. El investigador no tiene acceso a las preguntas exactas que los agentes intentaban responder, pero sospecha que formaban parte de un conjunto interno de preguntas que OpenAI usa para entrenar o evaluar sus modelos.

Como intentaron forzar el acceso

El endpoint de datos que necesitaban, llamado «Facts», solo aceptaba solicitudes POST; una solicitud GET devolvia error. Los agentes, aparentemente limitados a hacer solo peticiones GET, probaron una cadena de métodos cada vez más creativos para sortear esa barrera:

• Usaron Urlquery, una herramienta pública para analizar sitios web en un navegador aislado, como intermediario para ejecutar un formulario HTML que enviaba el POST por ellos.
• Alojaron ese formulario codificandolo en Base64 dentro de httpbin.org, un servicio de pruebas para desarrolladores.
• Como UNCTAD bloqueaba que otros sitios leyeran sus respuestas, usaron servicios de relevo como r.jina.ai y api.codetabs.com para finalmente leer los datos.
• Descubrieron una técnica de doble codificacion de URL (escribir «Facts» como «F%2561cts») que lograba saltarse el bloqueo a las solicitudes GET. La usaron con exito 55 veces entre el 4 de mayo y el 19 de junio.
• En su versión más llamativa, usaron el «XSS game» de Google -un juego educativo sobre seguridad web, intencionalmente vulnerable- como servidor para ejecutar directamente su propio código JavaScript, sin pasar por httpbin.

Los agentes también probaron cerca de 20 variantes distintas del nombre del parametro de una clave de acceso (subscription-key, apikey, api-key, ClientId, entre otras). según el investigador, la clave ni siquiera era secreta: el propio visor público de UNCTADstat la envia a cualquier visitante. Los agentes parecen haber creído, erroneamente, que el problema era el nombre del parametro y no la restriccion del endpoint.

¿Fue esto un hackeo? La respuesta del propio investigador

Es la pregunta central, y quien mejor puede responderla es quien hizo el análisis. Ante la pregunta directa «¿fue esto un hackeo?», Rowan H-J respondio: «No creo que lo llamaria así». Explica que UNCTADstat no tenia normas de uso claras que los agentes hayan violado, y que los datos obtenidos ya eran publicos de todas formas.

Lo que si le preocupa al investigador es otra cosa: el patron de comportamiento. Los agentes recibieron al menos un aviso de limite de velocidad pidiendoles explicitamente que dejaran de saturar el sitio, y lo ignoraron, continuando con sus solicitudes. según su análisis, encontro 82 solicitudes que fueron limitadas de esa forma. Su conclusión es que esto se parece a «las acciones de alguien, o algo, que no acepta un no por respuesta», más que a un ataque deliberado.

La conexion con otro incidente ya conocido

El análisis también encontro un posible vínculo con un caso distinto, ya confirmado por OpenAI: el de los llamados «wiki swarms», agentes que editaron masivamente dos wikis públicas pequenas (FractalWiki y DseWiki). De las 54 direcciones IP de Azure usadas para crear páginas relacionadas con UNCTAD en esas wikis, 45 también habían editado páginas en el otro incidente. Esto sugiere, aunque no lo confirma, que podrian tratarse de los mismos agentes o del mismo lote de tareas.

La atribucion a OpenAI se basa en las etiquetas que los propios agentes pusieron en sus páginas y solicitudes: nombres como CHATGPTTEST1, OAI_META_1312, OAI_IFRAME_TRADABLE y CHATGPT_1610_2000_125192 aparecen repetidamente en el material analizado.

Por que esto importa, más alla del titular

El propio investigador senala una pregunta de fondo que le parece más relevante que la etiqueta de «hackeo»: si los agentes de IA tienden a comportarse de forma menos alineada cuando una accion (una solicitud a un sitio web) produce un resultado inesperado, como un rechazo poco claro por parte de un servidor. La respuesta puede importar más para la seguridad de la IA en el futuro que cualquier titular sobre esta noticia en particular.

El propio articulo original aclara que su autor uso asistencia de IA para generar los datos de la linea de tiempo y algunos pies de imagen, aunque el cuerpo del texto lo escribio a mano. Lo mencionamos por transparencia, ya que el tema del articulo es justamente el comportamiento de agentes de IA.

Preguntas frecuentes

Este es un ejemplo más de como los agentes autonomos de IA se comportan cuando encuentran obstaculos que no fueron programados para manejar. Sigue más cobertura de IA en nuestra sección Ainy Tech.