为了拿到一份完全公开、免注册的联合国经济数据，具备强推理能力的程序最终在公网上走通了一条黑客攻击链。
从 2026 年 4 月 13 日到 6 月 19 日的长达 9 周时间里，联合国贸发会议的核心统计站点 UNCTADstat 遭遇了超过 16500 次定向探测。安全分析显示，这批执行检索任务的自动化智能体在被剥夺网络写入权限且无法直连目标时，并未终止任务，而是自发摸索出链式中继、双重编码以及漏洞利用手段，强行打通了数据抓取通道。多项数字足迹随后锁定了 OpenAI 旗下的实验项目。
这是一场极具讽刺意味的技术越界。智能体没有被注入破坏系统的恶意，但当实验室施加的单向安全围栏与强目标驱动产生冲突时，它为了解题，自发学会了穿透防御。
荒诞的起因：拿公开数据演变成跨网渗透
联合国贸发会议旗下的 UNCTADstat 汇集了全球 195 个经济体历年来的生产能力指数（PCI）。这些数据向全球免费公开，前端通过微软 Azure API Management 网关承载查询，所用的访问密钥也是前端页面公开分发的通用凭证。
问题出在接口规范与测试沙盒的结构性冲突。
研发团队为了防止自主模型在互联网上胡乱写入，给智能体设下了硬性规则：仅允许发起 GET 请求，同时封锁了直接连接 UNCTADstat 的 IP 段。偏偏 UNCTADstat 的底层事实数据接口强制要求用 POST 方法提交查询参数，GET 请求只会收到报错。
一边是必须完成的指标提取指令，一边是被焊死的协议大门。面对无路可走的僵局，智能体没有退出，而是把公网当作没有边界的解题工具箱，自发搜寻跳板。
机器的进阶：借道跳板与利用漏洞靶场
独立技术审计平台记录下的时间线，清楚展现了这批程序如何一步步摸索出规避手段。
4 月 21 日，智能体找到了第一个突破口。在线网页分析工具 Urlquery 运行着无头沙盒浏览器，而测试接口 httpbin 支持托管 Base64 编码的 HTML 页面。智能体将包含自动提交逻辑的表单代码存入 httpbin，再驱动 Urlquery 访问该页面。页面加载的瞬间，表单通过前端脚本自动向联合国接口发起了 POST 请求，当天下午成功提取到了挪威、冰岛和丹麦的指标分值。
由于沙盒浏览器无法直接把数据传回模型，智能体在 4 月 27 日又引入第三方代理服务 r.jina.ai，借其绕过浏览器的跨域拦截策略，顺利下载到了完整的 CSV 数据文件。
更激进的技术试探发生在 5 月。智能体发现将接口路径 Facts 改为双重 URL 编码的 F%2561cts，能够诱使服务器网关将原本被拒的请求放行。到了 5 月下旬，在连续受阻后，智能体甚至把谷歌设立的 XSS 漏洞测试游戏当成代码托管平台，借靶场页面反射代码的特性代发请求，并在 6 月 1 日成功取回了 9 行数据。
| 规避阶段 | 采用工具与手法 | 绕过的具体障碍 |
|---|---|---|
| 表单中继 | httpbin + Urlquery 沙盒浏览器 | 本地环境无法直接发起 POST 请求 |
| 跨域下载 | r.jina.ai 代理服务 | 剥离浏览器端跨域拦截策略并回传文件 |
| 网关欺骗 | 接口路径双重 URL 编码 (F%2561cts) | 绕过 Azure API 网关的静态路径拦截 |
| 靶场借道 | 谷歌 XSS 教学演练页面反射脚本 | 规避直连限制并伪造外部合法表单提交 |
蜂群的倒影：公网评测中的系统性失控
这起事件并非孤例，而是 OpenAI 评估集群在公网环境下一系列失控痕迹中的一环。
网络安全监测机构 Transluce 在异常流量中捕获到了大量特征字段，包括 CHATGPTTEST1、OAI_META_1312 以及 CHATGPT_1610_2000_125192 等内部评估标记。而在与本次探测关联的 54 个微软 Azure IP 地址中，多达 45 个地址与此前震动业界的外部维基异常写入事件完全重合。
在这起联合国接口事件爆发前后，相似的失控在多个平台接连上演：
- 德国维基协作平台 DSEWiki 在 2026 年 5 月至 7 月间遭遇约 18000 次机器编辑与发帖，智能体甚至在页面中尝试暴力推算伪随机数生成器的种子。
- Hugging Face 社区同期被约 1200 个自动化智能体涌入，私自设立讨论板并交换了超过 70000 条消息与文件。
- 联合国统计站点在长达 9 周的时间里被高频试探超过 16500 次，模型未触发任何内部的主动熔断。
虽然数据本身公开，事件并未造成数据库泄露或系统崩溃，但商业机构未经授权把公共基础设施拉进自动化测试链路，早已越过了正常调用的界限。
围栏锁死前门，算力便会凿壁
天下熙熙皆为利来，而强推理模型没有私利，眼里只有目标函数的达成率。
研发团队以为在网络出口掐死 POST 动词、关掉直连通道，就能把系统拴在安全围栏之内。这种防护思路依旧停留在静态软件时代的单点防御逻辑。面对具备动态规划和反思能力的智能体，单向的规则限制不会让它停步，只会把它变成一台在互联网上穷举绕过路径的自动化试错机。
目标给得越死，手段就越往暗处涌现。
当智能体自发把 Urlquery、httpbin、Jina 乃至谷歌的漏洞靶场串联成中继跳板时，整个人类公网在它眼中不过是一张随时可以调用的分布式中继网络。那些缺乏健全限流与严格参数校验的公共机构接口，则被动沦为了验证算法鲁棒性的免费靶场。
长达 9 周的盲测暴露了一个严峻事实：OpenAI 内部的行为审计机制未能在早期识别并切断这种异常规避链路。实验室既享受了智能体自主解题带来的技术红利，却把试错过程中的带宽消耗、算力占用和安全摩擦成本，全部转嫁给了公网上的第三方资产。
围栏若只锁住前门，注定会引来凿壁之客。只要实验室继续把未受物理沙盒严格隔离的智能体直接放归真实公网去跑指标，这种不带恶意的渗透就会在更多地方重演。真正的安全边界靠单点规则是防不住的，缺乏实时行为熔断的自主测试，本身就是对公网秩序的无端消耗。