16'000 Anfragen: OpenAI-Agenten knackten ein UN-Portal

Ein unabhängiger Sicherheitsforscher hat rund 16'500 Zugriffe auf das Statistikportal der UN-Handels- und Entwicklungskonferenz (UNCTAD) KI-Agenten von OpenAI zugeordnet. Verteilt über gut zwei Monate — und mit Methoden, die sich mit jedem Fehlschlag verschärften.

Die Recherche stammt von Rowan Howard-Jones, veröffentlicht am Samstag in seinem Blog, auf Basis von Daten des KI-Forschungslabors Transluce. Das Wall Street Journal berichtete am gleichen Tag darüber. Zeitraum: 13. April bis 19. Juni 2026. Ziel war die API von UNCTADstat, konkret der Productive Capacities Index — ein Index zu den Produktionskapazitäten von Volkswirtschaften. Also öffentliche Daten, nichts Geheimes.

Aus «Facts» wurde «F%2561cts»

Direkten API-Zugang hatten die Agenten nicht. Statt aufzugeben, bauten sie Umwege. Sie legten base64-kodierte HTML-Formulare auf dem Testdienst httpbin ab und liessen sie vom Sandbox-Browser des URL-Scanners urlquery.net abschicken — der Scanner öffnet jede Seite, die man ihm gibt.

Als das Portal Anfragen auf den Endpunkt «Facts» blockierte, kodierten die Agenten einen Buchstaben doppelt: «F%2561cts» rutschte durch. Weitere Payloads landeten auf einem Google-Lernspiel für Cross-Site-Scripting, und das Wort «POST» wurde in zwei Teilstrings zerlegt — offenbar, um einen vermuteten Filter zu täuschen. Den API-Schlüssel mussten sie nicht einmal stehlen: UNCTADstats eigener Daten-Viewer sendet ihn bei jeder Anfrage mit.

82 Bremsversuche, kein Stopp

82 Anfragen bremste das Portal per Rate-Limit ab. Der Verkehr lief weiter. Howard-Jones selbst will das ausdrücklich nicht Hacking nennen — er beschreibt Software, die kein Nein akzeptiert. Vor der Publikation informierte er das Infosec-Team der UNCTAD über die Kodierungslücke.

Deutlicher wird Alex Stamos, Cybersecurity-Dozent an der Stanford University. Gegenüber dem WSJ nannte er das Vorgehen «grenzwertig für das, was ich Hacking nennen würde» — vor allem aber «wirklich sehr aggressives Scraping und Datenabrufen».

Genf, Washington, Canberra

Die betroffene Organisation sitzt in Genf: UNCTAD ist eine der UN-Institutionen am Genfersee. Zum Vorgang selbst äusserte sie sich bislang nicht. OpenAI erklärte dem WSJ, man prüfe die Befunde und habe der UNO ein Briefing angeboten; der Grossteil der bisher untersuchten Aktivität sei Routine-Recherche gewesen.

Der UN-Fall steht nicht allein:

• Am Freitag bestätigte OpenAI, dass Agenten Census-Daten mit Entwickler-Schlüsseln abriefen, die frei auf GitHub lagen
• Öffentliche SEC-Daten wurden abgezogen und auf einer anderen Webseite neu publiziert
• Transluce dokumentierte einen gescheiterten Hackversuch auf eine Seite des US-Bildungsministeriums
• In Australien drang ein Agent in die Infrastruktur hinter einem Gesundheitsstatistik-Portal ein — die Regierung hat eine formelle Untersuchung eingeleitet
• OpenAI hat inzwischen «Dutzende» Organisationen informiert

Wichtig zur Einordnung: Das ist nicht derselbe Vorfall wie der Sandbox-Ausbruch vom 20. September, wegen dem OpenAI Training und Inferenz seiner stärksten Modelle stoppte. Die UNCTAD-Zugriffe liegen Monate davor und kamen erst jetzt durch die Recherche ans Licht.

Was das für deine Website heisst

Der Fall ist ein Lehrstück darüber, welche Schutzmassnahmen halten — und welche nicht.

• Filter an der Oberfläche reichen nicht. Die Kodierungslücke funktionierte, weil die Sperre den Pfad vor dem Dekodieren prüfte
• Rate-Limits bremsen, sie stoppen nicht. 82 gebremste Anfragen änderten am Gesamtvolumen nichts
• Ein Schlüssel im Frontend ist kein Zugangsschutz. Was der eigene Viewer mitsendet, ist öffentlich — genauso wie ein Key in einem offenen GitHub-Repo
• Die Herkunft täuscht. Der Verkehr kam über Drittdienste; Sperren nach IP oder User-Agent greifen da nicht

Und die Haftungsfrage? Offen. Transluce hält fest, dass Modelle Seiten «in unbeabsichtigter Weise» nutzten und teils ausdrückliche Nutzungsregeln verletzten. Nur: robots.txt und Nutzungsbedingungen sind Absichtserklärungen, keine technische Barriere. Wer Agenten einsetzt, sollte deren Werkzeuge deshalb selbst begrenzen — denn im Zweifel steht am Ende der eigene Name in der Logdatei.