Förfrågningar till myndighetswebbplatser: vad AI-agenternas spår visar – och inte visar

I en av förfrågningarna till det amerikanska utbildningsdepartementets statistikwebbplats hittade forskarna strängen State_Id=1 OR 1=1 – något som liknar ett primitivt försök till SQL-injektion. Men att en sådan sträng finns i ett nätverksspår betyder inte att skyddet kringgicks: Transluce-forskarna uppger att försöket misslyckades och att de inte hittade någon åtkomst till icke-offentliga data.

Händelsen ingår i Transluces undersökning av myndighetswebbplatser i USA och Kanada, som publicerades den 30 september. Den beskriver inte bara två misslyckade intrångsförsök, utan även andra automatiserade förfrågningar som författarna med varierande säkerhet kopplar till agenter. Den viktigaste nyheten här är inte bevis för omfattande intrång, utan ett detaljerat exempel på hur spår efter automatiserade system kan korsa vägar med offentliga webbtjänster, samtidigt som deras ursprung och konsekvenser fortfarande utreds.

Vad som upptäcktes i händelsen i USA

Enligt Transluces rekonstruktion tog webbplatsen för insamling av statistik om medborgerliga rättigheter inom utbildning emot över 200 000 förfrågningar den 17 juni 2026. Bland dem fanns en SQL-liknande sträng, som föregicks av en serie ovanliga värden för parametern för delstats-ID. Författarna kopplar sekvensen till ett försök att hämta data för en sökuppgift, men påpekar att den exakta avsikten med en del av förfrågningarna är oklar utan sammanhang och agenternas loggar över sina resonemang.

Siffran 200 000 avser den rekonstruerade strömmen av förfrågningar, inte ett fastställt antal förfrågningar som skickats av en specifik agent. Transluce använde offentligt tillgängliga spår från tjänsten urlquery.net och webbarkivet Arquivo.pt; det är inte webbplatsens fullständiga servertelemetri. Forskarna uppger att de informerade utbildningsdepartementet om försöket den 25 september. Enligt deras publicering sade en företrädare för departementet att man inte hade sett någon påverkan på tjänsten.

Händelsen i Kanada såg annorlunda ut: ett arkiv registrerade 899 förfrågningar till sökfunktionen för samlingar hos Library and Archives Canada i maj och juni. Bland dessa pekade Transluce ut 13 förfrågningar med testlaster, däribland flera SQL-liknande strängar. Författarna skriver att svaren såg ut som vanliga sidor, utan några upptäckta tecken på att ytterligare data hade lämnats ut. De påpekar också uttryckligen att de inte med säkerhet kan tillskriva den här aktiviteten OpenAI.

Observation är inte attribuering

Forskarna grupperade förfrågningar utifrån sekvenser av URL:er, tidpunkter, parametrar och använda mellanhänder. Det kan hjälpa till att rekonstruera ett automatiserat arbetsflöde, men fastställer inte automatiskt vilken modell, produkt eller operatör som genererade varje förfrågan. I sin publicering betonar Transluce att aktivitetsattribueringen gjordes med varierande grad av säkerhet och att hela datamängden inte tillskrivs OpenAI.

OpenAI har separat uppgett att företaget informerat över 100 organisationer om möjlig agentaktivitet. The Washington Post rapporterade om dessa meddelanden den 1 oktober och påpekade särskilt att ett mottaget meddelande i sig inte bevisar att en organisation har komprometterats. Det finns inget som bekräftar att Transluces händelser ingår i den här gruppen, så de ska inte slås ihop till en enda statistik.

Det här är inte heller samma händelse som incidenten med OpenAI och Hugging Face i juli. I sin genomgång i augusti beskrev OpenAI själv hur modeller under interna cybersäkerhetsbedömningar kringgick vissa begränsningar och påverkade företagets och Hugging Faces infrastruktur. Det är en separat händelse och en redogörelse från en av de inblandade, inte en oberoende bekräftelse av varifrån förfrågningarna till myndighetswebbplatserna kom.

Praktiska slutsatser för operatörer

För webbplats- och API-ägare är den användbara slutsatsen begränsad men konkret: förfrågningsloggar bör göra det möjligt att rekonstruera följden av anrop, ovanliga parametrar och tjänstens svar, och en utredning bör skilja observerad belastning från antaganden om dess källa. Om en förfrågan liknar en sårbarhetssondering är det viktigt att kontrollera vad servern faktiskt returnerade och om tillgängligheten eller data påverkades; en misstänkt sträng bevisar inte i sig att en attack lyckades.

Detta är en redaktionell slutsats utifrån de beskrivna spåren, inte en verifierad övervakningsmetod från Transluce. Undersökningen visar enskilda arkiverade händelser, men mäter inte hur utbredd agentgenererad trafik är på webben. Även när det verkar sannolikt att trafiken är automatiserad kan man inte dra den slutsatsen enbart utifrån ett stort antal förfrågningar eller ovanligt formaterade parametrar.