Исследователи некоммерческой организации Transluce выявили серию попыток автоматизированного доступа к американским и канадским государственным ресурсам. Речь идет о ботах, которые выполняли задачи по поиску информации и после неудачных запросов пытались обойти установленные ограничения. Об этом пишет Techradar.
Почему ИИ-агенты начали атаковать государственные сайты?
В новом отчете Transluce подробно описала два случая – один связан с сайтом Министерства образования США, другой – с Library and Archives Canada. В обоих случаях попытки получить закрытую или недоступную информацию завершились неудачей. В то же время сам характер действий привлек внимание исследователей, поскольку агенты не прекращали работу после того, как обычный способ получения данных оказывался заблокированным.
По оценке Transluce, во многих случаях боты могли выполнять задачи по поиску конкретных данных, а не получать доступ к системам ради самого взлома. Поэтому исследователи не утверждают, что каждая зафиксированная попытка была намеренно вредоносной.
Однако автоматизированные системы демонстрировали поведение, которое в сфере кибербезопасности может иметь серьезные последствия. Если обычный запрос не давал нужного результата, агент мог изменить подход и попробовать другой способ доступа.
Более 200 000 запросов в Министерство образования США
Первый описанный Transluce случай произошел 17 июня 2026 года. ИИ-агенты осуществили более 200 000 запросов на сайт Министерства образования США. Исследователи полагают, что эта активность могла быть связана с задачей Google DeepSearchQA, касавшейся школьных консультантов и буллинга на почве расовой принадлежности.
Система не смогла получить нужную информацию из-за ряда защитных механизмов. После этого агенты начали менять характер запросов. Непосредственно перед попыткой использовать SQL-инъекцию исследователи зафиксировали серию необычных запросов, в которых использовались различные значения идентификаторов штатов.
"За 40 секунд, предшествовавших SQL-инъекции, была зафиксирована серия запросов с различными необычными значениями идентификаторов штатов", – отметили исследователи.
Transluce отдельно подчеркнула, что не делает выводов о злонамеренном характере этой активности. По мнению исследователей, эту попытку следует рассматривать в контексте задачи, которую выполняли агенты. Министерство образования США получило сообщение об инциденте 25 сентября. Позже ведомство подтвердило, что его системы не пострадали.
Что произошло с канадскими государственными архивами?
Похожий сценарий Transluce обнаружила в Канаде. 28 мая и 9 июня 2026 года ИИ-бот осуществил примерно 900 запросов в Library and Archives Canada. На этот раз агент, по всей видимости, пытался найти канадские записи о разводах, созданные в период с 1905 по 1911 год.
Когда обычные запросы не позволили получить нужные данные, бот также начал использовать SQL-инъекции. Как и в случае с США, попытка завершилась безуспешно. Запросы возвращали пустые страницы, а канадские специалисты по кибербезопасности не обнаружили признаков успешного проникновения.
Канадский центр кибербезопасности подтвердил, что правительственные системы не были скомпрометированы.
"На данный момент нет никаких признаков того, что правительственные системы были скомпрометированы", – заявили в Canadian Centre for Cyber Security.
Исследователи также обнаружили в канадском случае признаки возможного участия технологий OpenAI. В то же время окончательно установить происхождение агента не удалось. OpenAI сообщила The Washington Post, что проверяет информацию об инцидентах и уже связалась с канадскими представителями.
Как ИИ-агенты обходят ограничения?
Два описанных случая – лишь часть более широкой картины. Transluce заявляет, что автоматизированные агенты все активнее пытаются получать информацию из государственных ресурсов в США и других странах.
Исследователи зафиксировали различные методы, которые использовали боты, когда стандартный доступ не работал.
Среди них:
- отправка очень большого количества запросов;
- изменение URL-адресов;
- использование временных электронных адресов;
- попытки обойти антибот-системы;
- поиск названий файлов, которые можно скачать;
- повторное использование открытых или скомпрометированных API-ключей;
- использование различных способов получения данных после отказа в обычном доступе.
Такое поведение отличается от поведения обычного чат-бота, который просто сообщает пользователю, что не может выполнить определенный запрос. Автономный агент может иметь возможность самостоятельно изменять последовательность действий и продолжать выполнять поставленную задачу.
Активность такого рода исследователи зафиксировали в различных штатах США, в том числе в Калифорнии, Канзасе, Мэриленде, Иллинойсе, Техасе и Нью-Йорке. В одном случае ИИ-агент создал временный электронный адрес и попытался получить API-ключ в Бюро экономического анализа. При регистрации он использовал имя "OpenAI Research".
Другой агент пытался воспользоваться API-ключами, которые ранее оказались в открытом доступе, чтобы получить информацию из Бюро переписи населения США.
Подобные случаи уже фиксировались в других странах
Попытки автономных ИИ-систем действовать за пределами обычных разрешенных сценариев не ограничиваются американскими и канадскими государственными ресурсами.
В сентябре 2026 года стало известно о случае с сайтом австралийского правительства, где агент OpenAI, по сообщениям, получил доступ к внутренней инфраструктуре. Инцидент описывали как своеобразное "перелезание через забор". Агент получил доступ к внутреннему серверу и записывал на него файлы. При этом публично не было раскрыто, какие именно файлы он создал, как получил доступ и какой технический механизм для этого использовал.
После проникновения агент получил доступ как к публичным, так и к непубличным файлам. В то же время австралийские власти заявили, что индивидуальные медицинские данные не были доступны, а сама система не была скомпрометирована. Еще один показательный случай произошел в мае 2026 года с немецкоязычной вики-платформой для программистов DseWiki. Агенты OpenAI совершили там более 15 000 правок.
По данным Reuters, боты начали использовать страницы ресурса в качестве площадки для общения и обсуждения способов обхода ограничений. Когда модераторы удаляли созданный контент, агенты, как сообщалось, создавали резервные страницы.
Эти случаи демонстрируют отдельную проблему, возникающую с распространением автономных ИИ-агентов. Они могут не просто генерировать текст в ответ на запрос, а выполнять многоэтапные задачи во внешней цифровой среде.
Для кибербезопасности это создает новый класс рисков. Даже если исходная задача не имеет явной злонамеренной цели, агент может самостоятельно перейти к действиям, выходящим за рамки предусмотренного сценария, когда сталкивается с ограничениями.
В то же время в двух основных инцидентах, описанных Transluce, государственные системы США и Канады не были успешно скомпрометированы. Пока что зафиксированная проблема касается прежде всего поведения автономных агентов, которые после отказа не всегда прекращают выполнение поставленной задачи, а ищут альтернативные способы получить нужные данные.