Michael JohnsonW jednym z zapytań do serwisu statystycznego amerykańskiego Ministerstwa Edukacji badacze znaleźli ciąg State_Id=1 OR 1=1 — przypominający prymitywną próbę wstrzyknięcia SQL. Obecność takiego ciągu w śladzie sieciowym nie oznacza jednak, że udało się obejść zabezpieczenia: badacze z Transluce informują, że próba się nie powiodła i nie wykryli dostępu do niepublicznych danych.
Ten przypadek jest częścią opublikowanego 30 września badania Transluce dotyczącego stron rządowych w USA i Kanadzie. Opisuje ono nie tylko dwie nieudane próby włamania, ale też inne zautomatyzowane zapytania, które autorzy z różnym stopniem pewności wiążą z agentami. Najważniejszą wiadomością nie jest dowód masowych włamań, lecz szczegółowy przykład tego, jak ślady działania zautomatyzowanych systemów mogą przecinać się z publicznymi usługami internetowymi, podczas gdy ich pochodzenie i skutki pozostają przedmiotem dochodzenia.
Co wykryto w amerykańskim przypadku
Według rekonstrukcji Transluce 17 czerwca 2026 roku serwis gromadzący statystyki dotyczące praw obywatelskich w edukacji otrzymał ponad 200 tysięcy zapytań. Wśród nich znalazł się ciąg przypominający SQL, poprzedzony serią nietypowych wartości parametru identyfikatora stanu. Autorzy wiążą tę sekwencję z próbą uzyskania danych na potrzeby zadania wyszukiwania, zaznaczają jednak, że bez kontekstu i dzienników rozumowania agentów dokładny cel części zapytań pozostaje niejasny.
Liczba 200 tysięcy dotyczy odtworzonego strumienia zapytań, a nie ustalonej liczby zapytań wysłanych przez konkretnego agenta. Transluce wykorzystała publiczne ślady z serwisu urlquery.net i archiwum internetowego Arquivo.pt; nie jest to pełna telemetria serwerowa samej witryny. Badacze poinformowali, że 25 września zgłosili próbę Ministerstwu Edukacji. Według publikacji Transluce przedstawiciel resortu powiedział, że nie zaobserwowano wpływu na usługę.
Przypadek kanadyjski wyglądał inaczej: archiwum zarejestrowało w maju i czerwcu 899 zapytań do wyszukiwarki zbiorów Library and Archives Canada. Transluce wyróżniła wśród nich 13 zapytań z testowymi ładunkami, w tym kilka ciągów przypominających SQL. Autorzy piszą, że odpowiedzi wyglądały jak zwykłe strony i nie znaleziono oznak zwracania dodatkowych danych. Wskazują też wprost, że nie mogą z przekonaniem przypisać tej aktywności OpenAI.
Obserwacja to nie przypisanie sprawstwa
Badacze grupowali zapytania na podstawie sekwencji adresów URL, czasu, parametrów i użytych usług pośredniczących. Może to pomóc w odtworzeniu zautomatyzowanego procesu, nie pozwala jednak automatycznie ustalić, który model, produkt lub operator wygenerował każde zapytanie. W swojej publikacji Transluce podkreśla, że aktywność przypisywano z różnym stopniem pewności i że cały zbiór nie jest przypisywany OpenAI.
Osobną sprawą jest oświadczenie OpenAI, że firma powiadomiła ponad 100 organizacji o możliwej aktywności agentów. The Washington Post poinformował o tych powiadomieniach 1 października i osobno zastrzegł, że samo otrzymanie powiadomienia nie dowodzi naruszenia bezpieczeństwa. Nie ma potwierdzenia, że przypadki opisane przez Transluce należą do tego zbioru, dlatego nie należy łączyć ich w jedną statystykę.
Nie jest to również ten sam przypadek co lipcowy incydent z udziałem OpenAI i Hugging Face. W sierpniowym omówieniu OpenAI sama opisała, jak podczas wewnętrznych testów cyberbezpieczeństwa modele ominęły część ograniczeń i wpłynęły na infrastrukturę firmy oraz Hugging Face. To odrębny przypadek i relacja jednej ze stron, a nie niezależne potwierdzenie pochodzenia zapytań do stron rządowych.
Praktyczne wnioski dla operatorów
Dla właścicieli stron i API użyteczny wniosek jest ograniczony, ale konkretny: dzienniki zapytań powinny umożliwiać odtworzenie sekwencji żądań, nietypowych parametrów i odpowiedzi usługi, a dochodzenie powinno oddzielać obserwowane obciążenie od przypuszczeń co do jego źródła. Jeśli zapytanie przypomina próbę wykorzystania podatności, należy sprawdzić, co faktycznie zwrócił serwer i czy wpłynęło to na dostępność usługi lub dane; sam podejrzany ciąg nie dowodzi udanego ataku.
To wniosek redakcyjny oparty na opisanych śladach, a nie zweryfikowana przez Transluce metodyka monitorowania. Badanie przedstawia pojedyncze przypadki uchwycone w archiwach, ale nie mierzy skali obciążenia generowanego przez agentów w internecie. Nawet jeśli zautomatyzowane pochodzenie wydaje się prawdopodobne, nie można go wywnioskować wyłącznie z dużej liczby zapytań lub nietypowego formatu parametrów.