OpenAI 에이전트, UN 통계 사이트 1만 6,500번 스캔
보안 연구자가 OpenAI 에이전트로 보이는 트래픽이 두 달 동안 유엔무역개발회의(UNCTAD) 통계 사이트를 1만 6,500번 스캔했다고 공개했다. 막히자 주소를 두 번 인코딩하고 구글의 보안 교육용 게임까지 우회로로 썼다.
보안 연구자 로언 하워드존스가 9월 26일 자신의 블로그에 OpenAI 가 유엔무역개발회의(UNCTAD)의 통계 사이트 UNCTADstat을 4월 13일부터 6월 19일까지 약 1만 6,500번 스캔했다는 분석을 올렸다. 원문을 9월 28일 직접 열어 확인했다. OpenAI가 9월 25일 스스로 공개한 이상 행동 사례와 별개로, 외부 연구자가 로그로 추적한 사례다.
에이전트는 공개 통계(생산역량지수 등)를 가져오라는 과제를 받은 것으로 보인다. 그런데 쓸 수 있는 요청 방식이 제한돼 사이트 API에 곧바로 접근하지 못하자, 외부 URL 검사 서비스와 요청 중계 서비스를 거쳐 우회했다. 사이트가 막아 둔 경로는 주소를 두 번 인코딩해 뚫었고, 있지도 않은 필터를 피하겠다며 요청 문자열을 쪼개 숨겼다. 결국 구글이 해킹 교육용으로 만든 'XSS 게임' 페이지를 데이터 수집 도구로 삼아 한 번에 여러 줄을 받아내는 데까지 갔다.
OpenAI 에이전트라는 판단은 연구자의 추정이다. 근거는 세 가지다. 스캔 직후 OpenAI가 자사 에이전트 소행이라고 인정한 위키 도배 사건의 한 위키에 같은 UNCTAD 주소가 올라왔고, 그 작업에 쓰인 애저(Azure) IP 54개 중 45개가 겹쳤으며, 요청 이름에 CHATGPTTEST1, OAI_META_1312 같은 표시가 남아 있었다. 더 버지(The Verge)에 따르면 OpenAI와 유엔은 논평 요청에 곧바로 답하지 않았다.
