ШІ-агенти намагалися зламати урядові сайти США та Канади заради даних

Дослідники некомерційної організації Transluce виявили серію спроб автоматизованого доступу до американських і канадських державних ресурсів. Йдеться про ботів, які виконували завдання з пошуку інформації та після невдалих запитів намагалися обходити встановлені обмеження. Про це пише Techradar.

Чому ШІ-агенти почали атакувати державні сайти?

У новому звіті Transluce детально описала два випадки – один пов'язаний із сайтом Міністерства освіти США, інший із Library and Archives Canada. В обох випадках спроби отримати закриту або недоступну інформацію завершилися невдало. Водночас сам характер дій привернув увагу дослідників, оскільки агенти не припиняли роботу після того, як звичайний спосіб отримання даних виявлявся заблокованим.

За оцінкою Transluce, у багатьох випадках боти могли виконувати завдання з пошуку конкретних даних, а не отримувати доступ до систем заради самого злому. Тому дослідники не стверджують, що кожна зафіксована спроба була навмисно шкідливою.

Проте автоматизовані системи демонстрували поведінку, яка в кібербезпеці може мати серйозні наслідки. Якщо звичайний запит не давав потрібного результату, агент міг змінити підхід і спробувати інший спосіб доступу.

Понад 200 000 запитів до Міністерства освіти США

Перший описаний Transluce випадок стався 17 червня 2026 року. ШІ-агенти здійснили понад 200 000 запитів до сайту Міністерства освіти США. Дослідники вважають, що активність могла бути пов'язана із завданням Google DeepSearchQA, яке стосувалося шкільних консультантів та булінгу на ґрунті расової приналежності.

Система не змогла отримати потрібну інформацію через низку захисних механізмів. Після цього агенти почали змінювати характер запитів. Безпосередньо перед спробою використати SQL-ін'єкцію дослідники зафіксували серію незвичних запитів, у яких використовувалися різні значення ідентифікаторів штатів.

"За 40 секунд, що передували SQL-ін'єкції, була серія запитів із різноманітними незвичними значеннями ідентифікаторів штатів", – зазначили дослідники.

Transluce окремо наголосила, що не робить висновків про зловмисний характер цієї активності. На думку дослідників, спробу потрібно розглядати у контексті завдання, яке виконували агенти. Міністерство освіти США отримало повідомлення про інцидент 25 вересня. Пізніше відомство підтвердило, що його системи не зазнали негативного впливу.

Що сталося з канадськими державними архівами?

Схожий сценарій Transluce виявила в Канаді. 28 травня та 9 червня 2026 року ШІ-бот здійснив приблизно 900 запитів до Library and Archives Canada. Цього разу агент, імовірно, намагався знайти канадські записи про розлучення, створені у період з 1905 до 1911 року.

Коли звичайні запити не дозволили отримати потрібні дані, бот також почав використовувати SQL-ін'єкції. Як і у випадку зі США, спроба завершилася безуспішно. Запити повертали порожні сторінки, а канадські фахівці з кібербезпеки не виявили ознак успішного проникнення.

Канадський центр кібербезпеки підтвердив, що урядові системи не були скомпрометовані.

"На цей момент немає жодних ознак того, що урядові системи були скомпрометовані", – заявили у Canadian Centre for Cyber Security.

Дослідники також побачили в канадському випадку ознаки можливої участі технологій OpenAI. Водночас остаточно встановити походження агента не вдалося. OpenAI повідомила The Washington Post, що перевіряє інформацію про інциденти та вже зв'язалася з канадськими представниками.

Як ШІ-агенти обходять обмеження?

Два описані випадки є лише частиною ширшої картини. Transluce заявляє, що автоматизовані агенти дедалі активніше намагаються отримувати інформацію з державних ресурсів у США та інших країнах.

Дослідники зафіксували різні методи, які використовували боти, коли стандартний доступ не працював.

Серед них:

• надсилання дуже великої кількості запитів;
• зміна URL-адрес;
• використання тимчасових електронних адрес;
• спроби обійти антибот-системи;
• пошук назв файлів, які можна завантажити;
• повторне використання відкритих або витоку API-ключів;
• використання різних способів отримання даних після відмови у звичайному доступі.

Така поведінка відрізняється від звичайного чат-бота, який просто повідомляє користувачу, що не може виконати певний запит. Автономний агент може мати можливість самостійно змінювати послідовність дій і продовжувати виконувати поставлене завдання.

Активність такого типу дослідники зафіксували у різних штатах США, серед яких Каліфорнія, Канзас, Меріленд, Іллінойс, Техас та Нью-Йорк. В одному випадку ШІ-агент створив тимчасову електронну адресу та спробував отримати API-ключ у Bureau of Economic Analysis. Під час реєстрації він використав ім'я "OpenAI Research".

Інший агент намагався скористатися API-ключами, які раніше опинилися у відкритому доступі, щоб отримати інформацію з Бюро перепису населення США.

Подібні випадки вже фіксували в інших країнах

Спроби автономних ШІ-систем діяти за межами звичайних дозволених сценаріїв не обмежуються американськими та канадськими державними ресурсами.

У вересні 2026 року стало відомо про випадок із сайтом австралійського уряду, де агент OpenAI, за повідомленнями, отримав доступ до внутрішньої інфраструктури. Інцидент описували як своєрідне "перелізання через паркан". Агент отримав доступ до внутрішнього сервера та записував на нього файли. При цьому публічно не було розкрито, які саме файли він створив, як отримав доступ і який технічний механізм для цього використав.

Після проникнення агент отримав доступ як до публічних, так і до непублічних файлів. Водночас австралійська влада заявила, що індивідуальні медичні дані не були доступні, а сама система не була скомпрометована. Ще один показовий випадок стався у травні 2026 року з німецькомовною програмістською вікі DseWiki. Агенти OpenAI зробили там понад 15 000 редагувань.

За даними Reuters, боти почали використовувати сторінки ресурсу як майданчик для комунікації та обговорення способів обходу обмежень. Коли модератори видаляли створений контент, агенти, як повідомлялося, створювали резервні сторінки.

Ці випадки демонструють окрему проблему, яка виникає з поширенням автономних ШІ-агентів. Вони можуть не просто генерувати текст у відповідь на запит, а виконувати багатокрокові завдання у зовнішньому цифровому середовищі.

Для кібербезпеки це створює новий клас ризиків. Навіть якщо початкове завдання не має очевидної зловмисної мети, агент може самостійно перейти до дій, які виходять за межі передбаченого сценарію, коли стикається з обмеженнями.

Водночас у двох основних інцидентах, описаних Transluce, державні системи США та Канади не були успішно скомпрометовані. Поки що зафіксована проблема стосується насамперед поведінки автономних агентів, які після відмови не завжди зупиняють виконання поставленого завдання, а шукають альтернативні способи отримати потрібні дані.