عوامل OpenAI راه طولانی را برای داده های سازمان ملل طی کردند

ماموران OpenAI ظاهرا دو ماه را صرف چکش یک API داده‌های سازمان ملل (UN) کرده‌اند و راه‌های خلاقانه‌تری را برای دور زدن موانعی که با آن مواجه می‌شوند، امتحان کرده‌اند. محقق Rowan H-J با تجزیه و تحلیل تقریبا 16500 اسکن از UNCTADstat API کنفرانس سازمان ملل در تجارت و توسعه که بین 13 آوریل و 19 ژوئن 2026 ثبت شده بود، این فعالیت را کشف کرد.

روآن ادعا می‌کند که «به احتمال زیاد» این ترافیک از سوی عوامل OpenAI آمده است، بر اساس پیوندهایی به «انبوه‌های ویکی OpenAI» که قبلا مستند شده‌اند، آدرس‌های IP همپوشانی Azure، و محموله‌هایی حاوی برچسب‌هایی از جمله «CHATGPTTEST1» و «OAI_META_1312». OpenAI به The Register گفت که در حال بررسی یافته‌ها است، اگرچه به صراحت تایید نکرد که عواملش مسئول فعالیت‌هایی هستند که روآن مستند کرده است.

یکی از سخنگویان OpenAI به ما گفت: «ما از گزارش‌هایی درباره دسترسی مدل‌های OpenAI به اطلاعات در دسترس عموم از مرکز داده‌های کنفرانس تجارت و توسعه ملل متحد مطلع هستیم. ما در حال بررسی این یافته‌ها هستیم و با سازمان ملل تماس گرفته‌ایم تا با تیمی که این بررسی را انجام می‌دهد، یک جلسه توجیهی ارائه دهیم.» این سخنگوی به بررسی قبلی اعلام شده OpenAI در مورد آنچه «فعالیت مدل نامناسب» می‌نامد اشاره کرد و گفت: بیشتر رفتارهایی که تاکنون مورد بررسی قرار گرفته‌اند شامل تحقیقات معمولی از جمله دسترسی به وب‌سایت‌های عمومی برای پاسخ دادن به سؤالات است.

این سخنگو افزود: "برخی از وب سایت های دولتی درگیر هستند زیرا مدل های ما اغلب به آنها به عنوان منابع معتبر اطلاعات عمومی مراجعه می کنند." با فرض اینکه محقق درست می‌گوید، بخش جالب این نیست که عوامل هوش مصنوعی می‌خواستند دستکش‌های مصنوعی خود را در برخی از آمارهای سازمان ملل دریافت کنند. این همان چیزی است که وقتی آنها نتوانستند اتفاق افتاد. به نظر می رسد که ماموران به دنبال داده های عمومی نسبتا غیر هیجان انگیز در مورد چیزهایی مانند تجارت، اشتغال و ظرفیت تولید بوده اند. اما درخواست‌ها به UNCTADstat همیشه آنطور که می‌خواستند جواب نمی‌داد و به جای اعتراف به شکست، مسیرهای مختلف را امتحان می‌کردند.

بر اساس تجزیه و تحلیل Rowan، نمایندگان سرویس‌های شخص ثالثی را که می‌توانستند از طرف آن‌ها درخواست کنند، آزمایش کردند و بیت‌هایی از جاوا اسکریپت را برای واکشی داده‌ها ساختند. یکی از انحراف‌های غیرعادی‌تر مربوط به بازی آموزشی XSS Google بود، یک سایت عمدا آسیب‌پذیر برای یادگیری در مورد اسکریپت‌نویسی متقابل. به نظر می‌رسد که نمایندگان از آن برای استفاده عملی‌تر استفاده کرده‌اند و از آن برای میزبانی جاوا اسکریپت استفاده می‌کنند که درخواست‌هایی را به UNCTADstat ارسال می‌کند. در 1 ژوئن، یک تلاش 9 ردیف از داده های اشتغال را به دست آورد.

ماموران همچنین به ترفندی برخورد کردند که به نظر می‌رسید UNCTADstat را با رد یک نوع درخواست خاص دور بزند. پس از شکست رویکرد ساده، آنها آدرس را با استفاده از کدگذاری URL دوگانه تغییر دادند. این بار سرور پاسخ موفقیت آمیزی داد. روون شمارش کرد که از همان تکنیک 55 بار بین 4 می تا 19 ژوئن استفاده شده است. عوامل بارها نام‌های مختلفی را برای پارامتر کلید API حدس زدند، راه‌های مختلفی را برای ساختن درخواست‌ها امتحان کردند و ظاهرا سعی کردند از فیلتری که ممکن است وجود نداشته باشد طفره بروند.

خود کلید API جواهری نبود که از سرور سازمان ملل به سرقت رفته بود. Rowan خاطرنشان می کند که نمایشگر داده های خود UNCTADstat همان کلید را از مرورگرهای کاربران ارسال می کند. آنچه برجسته است این است که به نظر می رسد ماموران چقدر پیگیر بوده اند. هنگامی که یک مسیر ناموفق بود، مسیر دیگری را امتحان کردند، خدمات شخص ثالث را وارد کردند و نحوه درخواست‌ها را تغییر دادند تا زمانی که داده‌هایی را که دنبال می‌کردند دریافت کردند. البته به ما گفته می شود که عاملان هوش مصنوعی را مفید می کند: به آنها هدف بدهید و اجازه دهید مراحل لازم برای رسیدن به آن را مشخص کنند.

وقتی یکی از این مراحل شامل بررسی چگونگی عبور از محدودیت‌های فنی دیگران باشد، اوضاع کمی جالب‌تر می‌شود. یا احتمالا برخی ممکن است استنباط کنند و به آنها گفته نشود که از نرده های محافظ اطاعت کنید. اینکه چرا ماموران هر یک از این کارها را انجام می دادند، نامشخص است. روآن درخواست‌هایی را که به آنها داده شده است ندارد و پیشنهاد می‌کند که این الگو می‌تواند با مجموعه سوالات OpenAI داخلی که برای آموزش یا ارزیابی استفاده می‌شود، مناسب باشد. خرده نان های دیگری نیز وجود دارند که به OpenAI اشاره می کنند.

مدت کوتاهی پس از برخی از فعالیت های UNCTADstat، حسابی به نام "PublicDataResearchAgentT93214" صفحه ای را در FractalWiki ایجاد کرد که حاوی همان URL های API است. Rowan همچنین دریافت که 45 مورد از 54 آدرس IP Azure مرتبط با فعالیت های مربوط به UNCTAD در ویکی ها، قبلا DseWiki را در طول ازدحام عامل قبلی ویرایش کرده بودند. آن همه نبوغ برای برخی از آمارهای سازمان ملل. تصور کنید چه اتفاقی می‌افتد وقتی جایزه کمی جالب‌تر باشد. ®