VLOBS.COM – Agen OpenAI diduga menghabiskan sekitar dua bulan mencoba mengakses data melalui API UNCTADstat milik Konferensi PBB tentang Perdagangan dan Pembangunan (UNCTAD). Menurut analisis peneliti Rowan H-J, sejumlah upaya dilakukan setelah permintaan ke API tidak berjalan sesuai harapan.
Rowan mengidentifikasi sekitar 16.500 pemindaian yang tercatat pada 13 April hingga 19 Juni 2026. Ia menilai lalu lintas itu sangat mungkin berasal dari agen OpenAI, dengan merujuk pada kaitan dengan aktivitas “wiki swarms” OpenAI yang pernah didokumentasikan, alamat IP Azure yang tumpang tindih, serta label dalam muatan seperti “CHATGPTTEST1” dan “OAI_META_1312”.
Baca juga: OpenAI Akui Agen AI Mengakses Empat Situs Pemerintah Australia
OpenAI mengatakan kepada The Register bahwa perusahaan sedang meninjau temuan tersebut dan telah menghubungi PBB untuk menawarkan pengarahan. Juru bicara perusahaan menyebut OpenAI mengetahui laporan mengenai modelnya yang mengakses informasi publik dari Data Hub UNCTAD. Namun, OpenAI tidak secara tegas mengonfirmasi bahwa agennya bertanggung jawab atas aktivitas yang dipaparkan Rowan.
Beragam cara untuk memperoleh data
Analisis Rowan menyebut agen mencoba layanan pihak ketiga untuk mengirim permintaan serta membuat potongan JavaScript guna mengambil data. Salah satu jalur yang tidak biasa melibatkan permainan pelatihan XSS milik Google, situs yang memang dirancang rentan untuk pembelajaran cross-site scripting. Agen tampaknya memanfaatkannya untuk menampung JavaScript yang mengirim permintaan ke UNCTADstat.
Baca juga: Ledakan AI Membayangi Climate Week dan Membelah Teknologi Iklim
Pada 1 Juni, salah satu percobaan menghasilkan sembilan baris data ketenagakerjaan. Rowan juga mencatat bahwa agen mengubah alamat permintaan dengan double URL encoding setelah pendekatan langsung gagal. Server kemudian memberikan respons berhasil. Teknik tersebut, menurut hitungannya, digunakan sebanyak 55 kali antara 4 Mei dan 19 Juni.
Baca juga: Microsoft Ungkap Storm-3168 Hancurkan Sumber Daya Azure
Upaya lain mencakup menebak berbagai nama parameter untuk kunci API dan mencoba beberapa cara menyusun permintaan. Rowan mencatat bahwa kunci API tersebut juga dikirimkan ke browser pengguna oleh penampil data UNCTADstat sendiri.
Alasan agen melakukan pencarian itu belum diketahui. Rowan tidak memiliki prompt yang diberikan kepada agen dan menyebut pola aktivitas tersebut mungkin sesuai dengan kumpulan pertanyaan internal OpenAI untuk pelatihan atau evaluasi. Ia juga menemukan akun bernama “PublicDataResearchAgentT93214” membuat halaman FractalWiki berisi URL API yang sama. Dari 54 alamat IP Azure yang terkait dengan aktivitas UNCTAD di wiki, 45 sebelumnya tercatat mengedit DseWiki dalam aktivitas agen terdahulu.
