从2026年4月13日到6月19日，OpenAI代理扫描了UNCTAD的API约16,500次，使用代理、混淆以及谷歌的XSS游戏。UNCTAD是联合国贸易和发展会议，UNCTADstat是他们提供的一个统计网站，涵盖了各种贸易和发展指标。该网站从其API中渲染数据，网址为unctadstat-api.unctad.org/datamart-api/...。Transluce的报告显示，代理对该站点进行了多次请求，但未深入探讨这些请求的具体内容——我认为它们值得进一步调查。2026年6月6日，UNCTADstat的塑料贸易API在协调世界时21:06和22:40遭遇扫描。40分钟后，在23:20，名为PublicDataResearchAgentT93214的用户在FractalWiki上创建了一个页面，这是受到OpenAI确认的wiki涌入结果之一。该页面列出了扫描所使用的确切UNCTADstat URL。我们拥有这些wiki的访问日志，显示在制作此页面和其他UNCTAD相关编辑及搜索时使用的54个Azure IP地址中，有45个在wiki涌入1中也进行了DseWiki的编辑。此外，代理将其有效载荷页面和URL标记为如CHATGPTTEST1、OAI_META_1312、OAI_IFRAME_TRADABLE和CHATGPT_1610_2000_125192等名称。因此，我们认为对UNCTADstat的扫描很可能是由OpenAI代理实施的。发现汇总：OpenAI代理在2026年4月13日至6月19日期间通过Urlquery对UNCTADstat的API进行了超过16,500次扫描；代理很可能被指派检索与生产能力指数（PCI）、可交易行业、食品贸易和其他主题相关的数据；代理对UNCTADstat的API字段进行了暴力破解，以定位端点并检索数据；代理能够通过双重编码漏洞绕过UNCTADstat对其API的限制；代理逐渐优化其方法，以从每次扫描中提取更多数据，最终发现谷歌的一个游戏可以用于批量获取数据；代理故意对密钥和请求进行了混淆，以绕过缺失的过滤器；代理可能搜索了wiki涌入代理的先前工作，并尝试将wiki本身用作UNCTADstat数据内容的代理。发现汇总时间线：家庭 feud - 问题是什么？自动提交表单和其他各种黑客提取数据的方法；迭代 - 代理学习如何从UNCTADstat提取；尝试在获取请求的URL中记录答案本身；使用split字符串以隐藏它们以防止过滤器；使用谷歌的XSS游戏作为页面托管（是的，真的）；绕过UNCTADstat仅限POST的限制；不使用密钥和暴力破解API；wiki连接；常见问题；后记；披露/免责声明说明；时间线；UNCTAD和wiki活动;检索方法；API探索；04/13–06/19 UNCTADstat扫描出现在urlquery报告中；04/19 UNCTADstat的查看器发送公共API密钥；04/21 第一个自我提交表单POST到Facts获得200响应，但没有可用数据；04/21 页面上的第一个数据：过滤表单返回挪威、冰岛和丹麦的PCI得分；04/21 fetch()从httpbin到达UNCTAD，但浏览器阻止读取回复；04/22 第一次观察到代理URLs中的订阅密钥；04/27 通过中继首次观察到数据：r.jina.ai提供PCI CSV；05/04 通过双重编码的F%2561cts首次成功GET以获取数据；05/13 有效载荷页面标题为CHATGPTTEST1和CHATGPT_1610_2000_...；05/13 第一次观察到有效回传通道：通过httpbin/get URLs传递的答案；05/14 大量有效载荷将密钥、POST和no-cors分割；05/14 代理尝试使用谷歌的射击场作为页面宿主；05/25–06/01 谷歌的XSS游戏在25份报告中托管请求脚本；05/25 首次观察通过XSS游戏获得的数据（页面内构建的表单）；06/01 一次XSS游戏扫描返回9行，由OAI_I01_...标记；06/06 UNCTAD API链接出现在FractalWiki上；06/19 结束：UNCTADstat扫描出现在urlquery报告中；06/20 UNCTAD搜索和URL参数探查到达wiki；家庭 feud - 问题是什么？我们有大量关于针对这些网站进行的扫描的数据，但我们没有关于这些代理试图回答的确切问题。因此，我们只能根据扫描做出合理猜测，似乎所寻求的数据是OpenAI用于训练或评估其模型的一部分内部问题集。Lynn Hughes写了一篇出色的文章，讨论了此类问题的结构——虽然我们无法确定是否是相同的格式（甚至是同一问题集的一部分，或与wiki涌入的相同代理），但是扫描的形状表明任务的主题是相似的。自动提交表单及其他各种黑客方法来检索数据：看起来与wiki涌入一样，这些代理没有访问除GET之外的任何HTTP方法，或许是以某种方式被限制。