Verzoeken aan overheidssites: wat sporen van AI-agenten wel en niet aantonen

In een van de verzoeken aan de statistiekwebsite van het Amerikaanse ministerie van Onderwijs troffen onderzoekers de tekenreeks State_Id=1 OR 1=1 aan — vergelijkbaar met een primitieve test op SQL-injectie. Maar de aanwezigheid van zo’n tekenreeks in netwerksporen betekent niet dat de beveiliging is omzeild: onderzoekers van Transluce melden dat de poging mislukte en dat zij geen toegang tot niet-openbare gegevens hebben vastgesteld.

Dit voorval maakt deel uit van het op 30 september gepubliceerde onderzoek van Transluce naar overheidssites in de VS en Canada. Het beschrijft niet alleen twee mislukte hackpogingen, maar ook andere geautomatiseerde verzoeken die de auteurs met uiteenlopende mate van zekerheid aan agenten koppelen. Het belangrijkste nieuws is hier geen bewijs van grootschalige inbraken, maar een gedetailleerd voorbeeld van hoe sporen van geautomatiseerde systemen kunnen samenkomen met openbare webdiensten, terwijl hun herkomst en gevolgen onderwerp van onderzoek blijven.

Wat er in het Amerikaanse voorval werd gevonden

Volgens de reconstructie van Transluce ontving de website voor het verzamelen van statistieken over burgerrechten in het onderwijs op 17 juni 2026 meer dan 200.000 verzoeken. Daaronder bevond zich een SQL-achtige tekenreeks, voorafgegaan door een reeks ongebruikelijke waarden voor de parameter met de staat-ID. De auteurs brengen die reeks in verband met een poging om gegevens te verkrijgen voor een zoekopdracht, maar merken op dat zonder context en logboeken van het redeneerproces van de agenten het precieze doel van een deel van de verzoeken onduidelijk is.

Het aantal van 200.000 slaat op de gereconstrueerde stroom verzoeken, niet op een vastgesteld aantal verzoeken dat door één specifieke agent is verstuurd. Transluce gebruikte openbare sporen van de dienst urlquery.net en het webarchief Arquivo.pt; dit is geen volledige telemetrie van de servers van de website zelf. De onderzoekers meldden dat zij het ministerie van Onderwijs op 25 september op de poging hadden gewezen. Volgens de publicatie verklaarde een woordvoerder van het ministerie dat er geen gevolgen voor de dienst waren waargenomen.

Het Canadese voorval was anders: het archief registreerde in mei en juni 899 verzoeken aan de zoekfunctie voor collecties van Library and Archives Canada. Transluce onderscheidde daaronder 13 verzoeken met testpayloads, waaronder enkele SQL-achtige tekenreeksen. De auteurs schrijven dat de antwoorden eruitzagen als gewone pagina’s en geen aanwijzingen bevatten dat er aanvullende gegevens waren teruggegeven. Ze geven ook uitdrukkelijk aan dat ze deze activiteit niet met zekerheid aan OpenAI kunnen toeschrijven.

Waarneming is geen attributie

De onderzoekers groepeerden verzoeken op basis van URL-reeksen, tijdstippen, parameters en gebruikte tussenliggende diensten. Dat kan helpen een geautomatiseerde workflow te reconstrueren, maar stelt niet automatisch vast welk model, product of welke operator elk verzoek heeft voortgebracht. In de publicatie benadrukt Transluce zelf dat de attributie van de activiteit met uiteenlopende mate van zekerheid is uitgevoerd en dat de volledige dataset niet aan OpenAI wordt toegeschreven.

Daarnaast is er de verklaring van OpenAI dat het bedrijf meer dan 100 organisaties heeft geïnformeerd over mogelijke agentactiviteit. The Washington Post berichtte op 1 oktober over deze meldingen en merkte daarbij op dat het ontvangen van een melding op zichzelf geen bewijs van een inbreuk is. Er is geen bevestiging dat de voorvallen van Transluce deel uitmaken van deze dataset; ze mogen daarom niet bij elkaar worden opgeteld.

Dit is ook niet hetzelfde voorval als het incident van OpenAI en Hugging Face in juli. In een analyse van augustus beschreef OpenAI zelf hoe modellen tijdens interne cyberbeveiligingsevaluaties een deel van de beperkingen omzeilden en de infrastructuur van het bedrijf en Hugging Face raakten. Dat is een afzonderlijk voorval en een versie van een betrokken partij, geen onafhankelijke bevestiging van de herkomst van de verzoeken aan overheidssites.

Praktische lessen voor beheerders

Voor beheerders van websites en API’s is de bruikbare conclusie beperkt, maar concreet: verzoeklogboeken moeten het mogelijk maken om de volgorde van verzoeken, ongebruikelijke parameters en antwoorden van de dienst te reconstrueren, terwijl onderzoek onderscheid maakt tussen waargenomen belasting en aannames over de bron ervan. Als een verzoek lijkt op een test op kwetsbaarheden, is het belangrijk na te gaan wat de server daadwerkelijk heeft teruggegeven en of de beschikbaarheid of gegevens zijn beïnvloed; één verdachte tekenreeks bewijst nog geen geslaagde aanval.

Dit is een redactionele conclusie op basis van de beschreven sporen, geen door Transluce gevalideerde monitoringsmethode. Het onderzoek toont afzonderlijke archiefgevallen, maar meet niet hoe vaak agentverkeer op het web voorkomt. Zelfs wanneer een geautomatiseerde herkomst waarschijnlijk lijkt, kan die niet uitsluitend worden afgeleid uit een groot aantal verzoeken of een ongebruikelijke notatie van parameters.