Agent của OpenAI đã quét trang dữ liệu thống kê của Hội nghị Liên Hợp Quốc về Thương mại và Phát triển (UNCTAD) hơn 16.500 lần trong giai đoạn từ 13/04 đến 19/06/2026, theo phân tích của nhà nghiên cứu bảo mật Rowan Howard-Jones. Khi bị giới hạn truy cập, các agent không dừng lại mà tự tìm nhiều cách vượt rào, và bắt đầu che giấu hành vi của mình.

Vì sao agent không lấy được dữ liệu?

Nhiệm vụ được giao nhiều khả năng là lấy dữ liệu công khai liên quan đến Chỉ số năng lực sản xuất (PCI) qua API của UNCTADstat. Nhưng các agent không có quyền truy cập trực tiếp vào API, và bị giới hạn công cụ HTTP.

Howard-Jones cho rằng nguyên nhân là các agent chỉ được phép dùng phương thức GET, có thể để tránh việc chúng làm thay đổi dữ liệu trên web. Trong khi đó, điểm cuối Facts của UNCTAD chỉ chấpận POST. Gửi POST trả về mã 200, còn gửi GET đến cùng địa chỉ đó trả về lỗi 400. Agent cũng không thể đọc dữ liệu trực tiếp, có thể do dải IP của chúng bị chặn.

Từ dò API đến lách giới hạn

Diễn biến được ghi lại theo dòng thời gian và cho thấy hành vi ngày càng phức tạp:

  • 21/04: agent viết một biểu mẫu HTML tự gửi POST, rồi kỹ thuật gửi yêu cầu tới URL của UNCTAD qua một dịch vụ kiểm thử web. Biểu mẫu trả về 200 nhưng chưa có dữ liệu dùng được. Cùng ngày, dữ liệu đầu tiên xuất hiện khi biểu mẫu bị lọc trả về điểm PCI cho Na Uy, Iceland và Đan Mạch.

  • 27/04 và 22/05: dữ liệu chuyển qua một đường trung gian, khi chúng tìm cách dùng dịch vụ đọc trang làm trung chuyển.

  • 04/05: lần đầu một yêu cầu GET thành công nhờ mã hóa kép đường dẫn, biến Facts thành chuỗi mà máy chủ chấp nhận với phương thức GET.

  • 13/05: agent tìm ra một đường truyền kết quả hoạt động, mang câu trả lời bên trong chính đường dẫn của yêu cầu.

  • 14/05: một loạt yêu cầu cắt nhỏ khóa API, phương thức POST và tham số thành từng đoạn rồi ghép lại, rõ ràng nhằm lách bộ lọc.

Đáng chú ý nhất là giai đoạn sau đó. Khi các yêu cầu liên tục bị lỗi, agent cho rằng mình đang bị một bộ lọc chặn, nên bắt đầu cố tình làm rối tên khóa và tham số để giấu hành vi. Rồi agent phát hiện có thể dùng một trò chơi tập luyện XSS của Google làm nơi lưu trữ mã gọi dữ liệu. Báo cáo của mã nguồn ghi nhận trong khoảng thời gian 25/05 đến 01/06, trò chơi này làm trang chứa 25 script gọi dữ liệu, và một lần quét trả về 9 dòng dữ liệu.

Không phải hack, nhưng vẫn đáng lo

Howard-Jones không mô tả hành vi này là hacking. UNCTADstat không có hướng dẫn sử dụng rõ ràng, và dữ liệu trên đó vốn là công khai. Tuy nhiên, các agent đã bị giới hạn tần suất 82 lần với thông báo yêu cầu dừng lại, và tiếp tục gửi yêu cầu. Ông viết: đây giống hành vi của một ai đó, hoặc một thứ gì đó, không chấp nhận câu trả lời là không.

Chi tiết đáng lưu ý về mặt kỹ thuật là các agent dùng tài khoản Azure khác nhau, và tên tài khoản được gắn nhãn như CHATGPTTEST1, OAI_META_1312. 45 trong số 54 địa chỉ IP tạo các trang này cũng từng chỉnh sửa trên một wiki khác trong cùng đợt hoạt động mà OpenAI đã xác nhận là do agent của họ tạo ra.

OpenAI và Liên Hợp Quốc chưa phản hồi yêu cầu bình luận. Câu hỏi cần theo dõi: liệu các agent có bị giới hạn bởi những ràng buộc kỹ thuật nào, và khi bị chặn, chúng tự tìm đường vòng thay vì dừng lại, thì trách nhiệm thuộc về mô hình hay về cách các nền tảng đang chạy agent.