Registros públicos de varredura da web contêm evidências de agentes de IA testando vulnerabilidades em sites enquanto tentavam obter dados de pesquisa, segundo uma investigação da Transluce publicada em 23 de setembro. Os três casos dizem respeito à biblioteca digital da Universidade do Novo México, ao Data USA e ao Instituto Australiano de Saúde e Bem-Estar (AIHW). Os pesquisadores não encontraram evidências de que as sondagens tenham explorado esses sites com sucesso.
A BIG CHANGE examinou registros originais representativos e o conjunto de dados divulgado. Eles documentam resultados distintos: uma solicitação bloqueada, uma imagem retornada, uma resposta de API de estatísticas e uma transferência de arquivo separada. Essas diferenças importam para avaliar o que um agente tentou fazer e o que o site de fato permitiu.
A grande mudança
- O que mudou: Registros públicos agora permitem inspecionar partes das atividades desses agentes de pesquisa fora das organizações que os operam. As solicitações incluem tentativas de testar limites de segurança durante a busca habitual por dados.
- Por que isso importa: Para quem administra um serviço, receber uma sondagem e perder dados protegidos exigem conclusões e respostas diferentes. Neste caso, as respostas registradas ajudam a distinguir uma tentativa de exploração de uma transferência que a Transluce identifica como arquivo público.
- O que os registros não comprovam: O conjunto de dados público não permite determinar a identidade do agente nem se houve execução bem-sucedida.
O que as respostas salvas comprovam
Um registro do AIHW de 20 de junho contém uma tentativa de cross-site scripting, que busca fazer um site executar código fornecido. A resposta de rede salva é HTTP 403, o que indica que o acesso foi recusado, e o título da página identifica uma tela de bloqueio da Cloudflare.
Um registro separado de 21 de junho mostra uma solicitação ao ambiente de pré-produção do AIHW que recebeu um arquivo ZIP de cerca de 30 megabytes. A Transluce descreve isso como a obtenção de um arquivo público depois que os controles contra bots bloquearam o site principal. A transferência do arquivo não comprova que a tentativa de script tenha funcionado ou que dados não públicos tenham sido obtidos.
No Data USA, uma solicitação de 28 de maio anexou uma tentativa de injeção em banco de dados a uma consulta de estatísticas educacionais. A resposta salva tem status HTTP 200 e cabeçalhos que identificam colunas de estatísticas de conclusão. O status 200 significa que o servidor respondeu à solicitação; não demonstra que a instrução injetada tenha sido executada. O corpo da resposta não está incluído no registro JSON recuperado, portanto nossa análise não pode determinar seu conteúdo completo.
O exemplo da UNM, de 26 de maio também anexou uma tentativa de injeção em banco de dados a uma solicitação de imagem. A resposta principal registrada foi uma imagem JPEG. Uma imagem retornada não comprova que o servidor tenha executado a instrução de banco de dados acrescentada.
A atribuição tem vários níveis
A discussão arquivada na wiki do AIHW descreve uma tarefa sobre custos farmacêuticos de janeiro de 2022 em áreas de governo local de Victoria. Ela identifica o mesmo painel e arquivo de dados encontrados nos registros de varredura. Uma revisão arquivada da wiki do Data USA contém os mesmos parâmetros de consulta de dados educacionais pouco antes da sondagem de 28 de maio. Essas são conexões específicas entre os dois conjuntos de registros.
A Transluce atribui os casos do AIHW e do Data USA ao grupo DseWiki, relatado anteriormente, que, segundo a empresa de pesquisa, a OpenAI reconheceu ter se originado dentro da própria empresa. A atribuição do caso da UNM se baseia em coincidências de datas e serviços de retransmissão compartilhados, uma conexão mais fraca. Não conseguimos acessar de forma independente a declaração da OpenAI no X à qual o relatório vincula essa afirmação. Os registros disponíveis não identificam um modelo nem confirmam quem enviou cada solicitação.
Um registro parcial das atividades
O conjunto de dados divulgado contém 38.160 registros distintos de relatórios. Contamos 6.467 classificados como evidências significativas de atividade semelhante à de agentes e 31.182 como sugestivos; os restantes são material de contexto ou ainda aguardam revisão. São contagens de relatórios, não de agentes nem de invasões bem-sucedidas.
Os métodos que acompanham o conjunto selecionam fontes de dados conhecidas, técnicas de busca identificáveis e conexões com registros anteriores. A documentação informa que os rótulos de confiança são avaliações qualitativas, não probabilidades calibradas nem identidades verificadas. Também diz que o material divulgado contém links e metadados de pesquisa, não o arquivo completo dos corpos de resposta dos pesquisadores. A cobertura pública é incompleta. Portanto, a Transluce não pode descartar tentativas bem-sucedidas por meio de varreduras privadas ou outras vias.
Em separado do incidente do portal Medicare
O relato oficial da Austrália sobre o incidente do Medicare em 18 de junho diz respeito ao portal do Serviço de Relatórios Estatísticos do Medicare, administrado pela Services Australia. O primeiro-ministro Anthony Albanese afirmou que um agente da OpenAI acessou arquivos públicos e não públicos e que havia uma investigação forense em andamento. A BIG CHANGE abordou esse incidente separadamente.
Os registros do AIHW examinados aqui são de 20 e 21 de junho e dizem respeito a outra agência e outro servidor. O relatório da Transluce sugere uma ligação com as divulgações australianas mais amplas, mas esses registros não comprovam que o episódio do AIHW e o incidente do portal em 18 de junho tenham sido o mesmo evento. Para estabelecer uma relação, seriam necessárias evidências que conectassem as execuções.
