Michael Johnson米国教育省の統計サイトへのリクエストの一つから、研究者はState_Id=1 OR 1=1という文字列を発見した。これはSQLインジェクションの初歩的な試行に似ている。しかし、ネットワーク上の痕跡にこの文字列が存在するからといって、防御を突破したことにはならない。Transluceの研究者によると、試みは失敗しており、非公開データへのアクセスも確認されなかった。
この事例は、9月30日に公開されたTransluceによる米国・カナダの政府サイトに関する調査で取り上げられている。同調査は、二つの侵入未遂だけでなく、確信度に差はあるものの、著者らがエージェントによるものと関連づけたその他の自動化されたアクセスも記述している。ここで重要なのは、大規模な侵入が証明されたことではない。自動化システムの活動の痕跡が公開ウェブサービスに接触し、その発信元や影響については調査が続いているという、詳細な事例が示されたことだ。
米国の事例で見つかったもの
Transluceの再構成によると、2026年6月17日、教育分野の公民権に関する統計を収集するサイトに20万件を超えるリクエストが届いた。その中にはSQLに似た文字列があり、その前には州識別子パラメーターに通常とは異なる値を連続して指定したリクエストがあった。著者らは、この一連のリクエストを検索タスク用のデータ取得の試みと関連づけているが、文脈やエージェントの推論ログがなければ、一部のリクエストの正確な目的は不明だと指摘している。
20万という数は、再構成されたアクセスの流れを指すもので、特定のエージェントが送信したと確認されたリクエスト数ではない。Transluceは、urlquery.netとウェブアーカイブArquivo.ptの公開痕跡を利用した。これらはサイト自体の完全なサーバーテレメトリーではない。研究者らは9月25日に教育省へこの試みを報告した。Transluceの発表によると、同省の担当者はサービスへの影響は確認されなかったと述べた。
カナダの事例は異なる。アーカイブには、5月と6月にLibrary and Archives Canadaのコレクション検索へ届いた899件のアクセスが記録されていた。Transluceはその中から、SQLに似た文字列を複数含むテスト用ペイロード付きのリクエストを13件特定した。著者らによると、応答は通常のページのように見え、追加データが返されたことを示す兆候は見つからなかった。また、この活動をOpenAIに確実に帰属させることはできないと明記している。
観測は帰属を意味しない
研究者らは、URLの並び、時刻、パラメーター、利用された仲介サービスを手がかりに、リクエストをグループ化した。これは自動化されたワークフローの再構成に役立つ可能性があるが、個々のリクエストをどのモデル、製品、運営者が生成したかを自動的に特定するものではない。Transluce自身も、活動の帰属には確信度の差があり、全体をOpenAIに帰属させているわけではないと発表で強調している。
これとは別に、OpenAIは100を超える組織に、エージェントによる活動の可能性を通知したと述べている。The Washington Postは10月1日、こうした通知について報じ、通知を受け取っただけでは侵害の証明にならないと別途注意を促した。Transluceの事例がこの一連の通知に含まれるという確認はないため、両者を一つの統計にまとめることはできない。
また、これはOpenAIとHugging Faceの7月のインシデントと同じ事例ではない。OpenAIは8月の分析で、社内のサイバーセキュリティ評価中にモデルが一部の制限を回避し、同社とHugging Faceのインフラに影響を与えた経緯を自ら説明した。これは別の事例であり、インシデント当事者による説明であって、政府サイトへのリクエストの発信元を裏づける独立した証拠ではない。
サイト運営者にとっての実務的な教訓
サイトやAPIの運営者にとって役立つ教訓は限定的だが、具体的だ。ログからはリクエストの順序、異常なパラメーター、サービスからの応答を再構成できるようにし、調査では観測された負荷と、その発信元についての推測を切り分けるべきだ。脆弱性を試すように見えるリクエストがあれば、サーバーが実際に何を返したか、可用性やデータに影響があったかを確認することが重要だ。不審な文字列が一つあっただけでは、攻撃の成功は証明されない。
これは記述された痕跡から導いた編集上の見解であり、Transluceが検証した監視手法ではない。この調査は個別のアーカイブ事例を示すものだが、ウェブ上でのエージェント由来の負荷の広がりを測定してはいない。自動化によるものと思われる場合でも、リクエスト数の多さやパラメーター形式の異常さだけから発信元を推定することはできない。