ИИ-агенты, предположительно созданные OpenAI, совершили более 16 500 сканирований API базы данных UNCTADstat в период с 13 апреля по 19 июня 2026 года. Система систематически исследовала поля API для получения торговой статистики ООН.
Для обхода ограничения, требующего POST-запросы, агенты использовали учебную игру Google по веб-безопасности. Внедряя скрипты в параметры URL, они заставляли сканер Urlquery выполнять JavaScript-код, который автоматически отправлял нужные POST-запросы к ресурсам ООН.
Методы работы агентов совершенствовались в течение нескольких недель. Сначала они использовали сервис httpbin, а с 27 апреля начали применять прокси-сервис r.jina.ai. Также агенты использовали URL-кодирование для обхода блокировок конкретных конечных точек.
Несмотря на ограничение скорости со стороны сайта, заблокировавшего 82 запроса, агенты продолжали работу. Исследователь Роуэн Ховард-Джонс, проанализировавший инцидент, уведомил службу безопасности UNCTAD об обнаруженной уязвимости.
