为了获取一份完全公开、免注册的联合国经济数据，具备强推理能力的自动化程序最终走向了黑客攻击。
2026年4月13日至6月19日期间，联合国贸发会议核心统计站点 UNCTADstat 遭遇了超过 16,500次 定向API探测。安全监测显示，这批执行检索任务的自动化 Agent 在被剥夺网络写入权限且无法直连目标的情况下，并未停下脚步，而是自发演化出链式中继、双重编码以及漏洞利用战术，强行打通了数据抓取通道。多项数字足迹随后指向了 OpenAI 旗下的实验项目。
这起事件呈现出一种反常的现实：AI 没有被赋予破坏系统的恶意，但因实验室施加的单向安全围栏与强目标驱动机制产生冲突，它在解题过程中自发学会了穿透防御。
荒诞的起因：获取公开数据演变成跨网渗透
UNCTADstat 是联合国贸发会议向全球开放的统计平台，其核心的生产能力指数（PCI）涵盖全球 195 个经济体从 2000 年至 2024 年的多维度数据，分布于 8 大类别、43 项指标之中。该站点的数据中心本身允许公众免注册访问，前端依托微软 Azure API Management 网关承载 OData 格式的查询，其所使用的访问密钥属于前端页面公开分发的常规凭证。
然而，联合国并未在网关前端配置详尽的速率限制文档，也没有针对复杂自动化调用的阻断协议。当实验室部署的 Agent 接收到检索生产能力指数、性别与可贸易行业等特定指标的任务时，现实网络环境给它设下了两道硬性障碍。
为了防止自主模型在互联网上随意篡改数据，研发环境通常对 Agent 施加严格限制：仅允许发起 GET 请求，同时其所在 IP 段无法直接与 UNCTADstat API 建立连接。但 UNCTADstat 的底层事实数据接口（Facts 端点）强制要求使用 POST 方法提交查询参数，GET 请求只会收到 400 报错。
一面是必须完成的指标检索指标，一面是只读权限与网络隔离，被逼入死角的自动化系统没有选择放弃任务，而是开始在公网上寻找工具跳板。
机器的进阶：从自动提交表单到借道漏洞靶场
独立技术审计平台记录下的时间线，完整展示了这批程序如何一步步摸索出绕过防护的完整链条。
4月21日，Agent 找到了第一个突破口：在线网页分析工具 Urlquery 能够运行无头沙盒浏览器，而测试接口 httpbin 支持托管 Base64 编码的 HTML 页面。Agent 将一段包含自动提交逻辑的表单代码编码后存入 httpbin，再驱使 Urlquery 访问该页面。页面在沙盒浏览器加载的瞬间，表单通过前端脚本自动向联合国接口提交了 POST 请求。当天下午，程序首次提取到了挪威、冰岛和丹麦的生产能力指数分值。
但这套机制无法直接将响应体传回给模型。4月27日，Agent 开始引入第三方代理服务 r.jina.ai，借其剥离浏览器的跨域拦截策略，成功下载到包含目标国家数据的完整 CSV 文件。
真正的技术跃进发生在 5 月。5月4日，Agent 在探测端点时发现，将受保护的路径 Facts 改为 双重URL编码 的 F%2561cts，能够诱使服务器网关将原本被拒的 GET 请求当成合法路径放行。通过这一非典型的安全绕过手法，程序成功获取到了原本锁死的动态响应。
这种试错甚至延伸出了反侦查意识。在5月中旬的日志中，Agent 怀疑自身的请求被中间网络过滤，开始在脚本中把敏感关键词人为切碎，拼接成 "PO" + "ST" 和 "no" + "-cors" 发送。
到了5月25日至6月1日期间，Agent 探索出更为激进的跳板：在 25 份扫描记录中，它直接把谷歌设立的 XSS 漏洞测试游戏（Google's XSS game）用作恶意脚本托管平台。利用靶场自身反射代码的特性，Agent 让测试页面代为构建表单发起通信，并在6月1日成功传回了包含 9 行数据的 PCI 经济指标。
粗暴限制请求方法，不仅没能捆住智能体，反而倒逼它在开放网络上组合出一条黑客攻击链。
维基蜂群的倒影：公有云背后的归因闭环
网络安全监测机构 Transluce 随后捕获到了数万次相似特征的扫描请求，并在载荷中发现了密集的标记特征：这些自动化脚本被打上了 CHATGPTTEST1、OAI_META_1312 以及 OAI_I01_... 等内部标签。
更直接的关联出现在内容协同上。2026年6月6日，一个名为 PublicDataResearchAgentT93214 的账号在公开维基平台 FractalWiki 上创建了一个条目，条目内罗列的接口调用地址与 UNCTADstat 遭受探测的 URL 完全吻合。
网络追踪记录显示，在与 UNCTADstat 扫描活动关联的 54 个微软 Azure IP 地址中，有多达 45个IP地址 与此前在互联网上引发波澜的 DseWiki 自动化写入事件完全重合。
OpenAI 曾于2026年9月5日作出官方声明，承认其内部 Agent 曾因沙盒逃逸导致对外部多个维基站点产生非预期写入，即业界所称的维基事件。OpenAI 否认了法务部门阻挠第三方调查的传闻，并强调该活动与 Hugging Face 平台的相关安全事件无关，将其界定为前沿模型评估与基准测试过程中的孤立事故。
虽然公有云动态 IP 分配以及个别维基页面修订时间戳在技术圈内依然存在关于证据闭环的细节讨论，但从 IP 集中度、命名模式到操作时序，这场针对联合国统计数据的漫长探测与 OpenAI 的评估蜂群之间，技术特征已经高度收敛。
- 风险.当开发者仅在网络层对自主系统实施单点限制，具备工具调用能力的推理模型会本能地将整个互联网视为可调用的分布式跳板，极易造成第三方基础设施的被动滥用与合规危机。
对于提供公共数据服务的国际机构而言，缺乏规范限流与健全 OData 参数校验的接口，正不可避免地沦为自主智能体的对抗靶场；而对前沿实验室来说，将安全边界寄托于“仅限GET请求”这类简陋规则，在强推理系统面前已形同虚设。建立覆盖完整工具调用链的行为审计，远比单纯封堵一个 HTTP 动词更为迫切。