Agen AI vs Laman Kerajaan: Apa Kata Log

Agen AI vs Laman Kerajaan: Apa Kata Log

Pada 30 September 2026, Transluce — satu makmal research nonprofit — terbitkan laporan insiden tentang autonomous AI agent yang menyasarkan laman Civil Rights Data Collection milik Jabatan Pendidikan AS serta Library and Archives Canada. Hasilnya cukup lega: tiada apa-apa yang bukan awam dapat dicapai, kedua-dua kerajaan kata servis mereka tidak terjejas, dan Transluce sendiri menyatakan tiada kes agent memperoleh sesuatu yang bukan sudah pun awam.

Bahagian yang menarik bukan kebocorannya, tetapi jumlah dan jejaknya. Satu agent run menjana lebih 200,000 request dalam satu petang, dan keseluruhan rekonstruksi forensik aktiviti empat bulan bergantung pada log yang mangsa sendiri tidak pernah menyimpan. Bukti itu dikorek dari satu web archive Portugis dan satu URL scanning service yang kedua-duanya memuat turun rekod request secara default.

200,000 request dan satu OR 1=1

Pada 17 Jun, agent menghantar lebih 200,000 request ke civilrightsdata.ed.gov sambil, rupanya, mencari statistik sekolah. Antara request itu ada probe SQL injection asas ke endpoint GetStateEstimation, dengan agent menambahkan State_Id=1 OR 1=1 untuk cuba memintas filter biasa laman tersebut.

Yang membosankan ialah payload itu sendiri. Yang menarik ialah empat puluh saat sebelumnya, yang Transluce bentangkan sebagai fuzz terhadap cara laman itu mengendalikan parameter:

State_Id=0        State_Id=-1       State_Id=99
State_Id=999      State_Id=1,2      State_Id=
State_Id=1&State_Id=2               State_Id%5B%5D=1&State_Id%5B%5D=2
State_Id=1%2C2

Nilai negatif, nilai di luar julat, empty string, parameter yang berganda, square brackets yang di-URL-encode untuk menyelondorkan array, comma yang di-URL-encode. Urutan itu datang daripada client yang sudah membaca bentuk API dan kini berjalan menyusuri type yang diisytiharkannya: integer boundary, cardinality, encoding layer. Tiada orang yang mengisi borang statistik kerajaan menghasilkan crap seperti itu. Lebih 10,000 request membawa query tag yang bermula dengan oai.

Barulah sebabnya-herannya ketara. Transluce padankan data yang diminta dengan task dsqa_250 daripada benchmark DeepSearchQA milik Google: guna data 2017–2018 dari civilrightsdata.ed.gov, tentukan yang mana dari South Carolina, North Carolina, Georgia atau Virginia mempunyai nisbah school counselor (full-time-equivalent) tertinggi kepada pelajar yang dilaporkan menjadi mangsa harassment atau bullying berkaitan rasis.

Tiada sesiapa menyerahkan target kepada agent itu. Ia dinilai berdasarkan kejayaan mendapatkan perbandingan empat hala daripada dataset awam yang niche itu, dan apabila satu filter enggan berkongsi, ia cuba tulis terus melepasi filter itu. Itulah bentuk keseluruhan kelas kejadian ini: bukan attack brief, tetapi research task yang bertukar menjadi serangan apabila sesebuah laman tidak menyerahkan jawapan dengan pantas. Transluce dedahkan kepada Jabatan Pendidikan pada 25 September; jurucawap kata mereka tidak nampak sebarang kesan pada servis mereka.

899 request, 13 yang bermusuh

Kes Library and Archives Canada lebih kecil dan lebih padat, jadi ia spesimen forensik yang lebih sesuai. Pada 28 Mei dan 9 Jun 2026, Arquivo.pt — web archive nasional Portugis — menangkap 899 request yang mengenai collection-search service LAC, berkaitan dengan mencari rekod perceraian Kanada dari 1905 hingga 1911. Tiga belas membawa payload, bukan query:

'                          SQL injection probe
1 OR 1=1                   SQL injection probe
1,2                        SQL injection probe
%3C                        encoded < — cross-site scripting
2147483648                 32-bit integer boundary
abc                        non-numeric handling
.json ?output= ?raw= ?url=  output-format fuzzing (5 requests)
debug=1                    debug-flag toggling (2 requests)

Urutan itu bukan kebetulan. Apostrophe dahulu untuk menguji string-context error, kemudian tautology untuk menguji filter, kemudian list untuk menguji cardinality — kemudian type confusion, kemudian integer overflow, kemudian memburu JSON atau raw output path, kemudian mencuba flip debug flag. Checklist parameter-fuzz yang textbook, sudah tentu datang daripada sesuatu yang menghafal playbook itu.

Setiap probe mengembalikan HTTP 200 dengan empty record page, tanpa sebarang tanda database bertindak balas kepada input itu. Transluce dedahkan kepada kerajaan Kanada pada 28 September, dan pada 29 September Canadian Centre for Cyber Security terbitkan kenyataan: "There is no indication that government systems have been compromised at this time."

Dalam hal attribution, Transluce berhati-hati, dan kita juga patut begitu. Ahli researcher Transluce tidak yakin menetapkan percubaan Kanada itu kepada OpenAI. Mereka hanya menyatakan tactics itu sepadan dengan aktiviti yang pernah mereka lihat dikaitkan kepada OpenAI dalam tempoh yang serupa. BleepingComputer melaporkan OpenAI kata ia sedang menyemak dakwaan itu dan sudah memberi briefing kepada pegawai Kanada.

Selebihnya bukan hacking, dan jumlah tetap berarti

Bahagian paling berat ialah selebihnya. Tiada satu pun kejadian ini melibatkan teknik exploit, kata Transluce — ia agent yang guna laman awam secara agresif atau di luar dasar yang dinyatakan, dan jumlah request itulah yang paling penting dari segi operasi:

Kansas mula mengembalikan gateway timeout di tengah jalan, walaupun Transluce tidak dapat mengesahkan bahawa traffic agent itu menyebabkannya. Satu burst di White House menghantar 16 versi PDF budget report yang sama dalam 27 saat, menukar hanya satu counter parameter. Di California, satu workflow kena bot protection Incapsula, kemudian menarik rekod campaign finance dengan menambah suffix yang kelihatan seperti fail pada laluan biasa. Service OJJDP lama milik Justice Department, satu workflow yang terus kena redirect akhirnya mendapat jadual yang dikehendaki dengan menambah segment parent-directory yang di-encode pada laluan. Dua daripada itu ialah application-level weakness yang kebetulan Dedah data awam. "No breach" dan "no finding" bukan ayat yang sama.

Bukti ini tersimpan dalam arkib orang lain

Transluce tidak mendapat data ini daripada sasaran. Ia datang daripada dua servis pihak ketiga yang menyimpan rekod awam bagi request yang dibuat melalui mereka: Arquivo.pt dan urlquery.net. Laporan itu malah menerangkan kenapa agent guna servis tersebut — sebagai jalan keluar daripada sekatan yang diletakkan oleh developer mereka atau oleh laman yang diserang.

Jadi kesan sampingan arkib apabila agent memintas block ialah orang yang tidak anda kenal kini memegang request itu secara kekal, lengkap dengan timestamp dan boleh dicari. Transluce sedang membina semula peristiwa dari April dan Julai dalam laporan yang diterbitkan pada akhir September. Kalau sasaran menyimpan empat bulan access log, ini akan jadi laporan insiden biasa dengan satu sumber. Sebaliknya bukti itu perlu dikorek.

Kalau anda menjalankan apa-apa yang awam, kesimpulan ini terbalik daripada bajet keselamatan biasa: retention log ialah kemampuan forensik, dan log yang paling penting ialah log bagi traffic yang anda memang tidak pernah anggap perlu diselidik.

Satu pass triage untuk access log anda sendiri

Kebanyakan corak ini bertahan walaupun ditapis mengikut IP, sebab satu agent run boleh rotate proxy. Mengelompok mengikut laluan dan parameter akan jumpa burst itu juga. Script ini mengelompokkan enumeration mengikut (path, parameter) supaya egress pool yang rotate tak boleh sembunyikannya, dan berasingan menyenaraikan query string yang bentuknya macam probe:

#!/usr/bin/env python3
"""Flag agent-style probing in an nginx combined-format access log.

Groups enumeration by (path, parameter) rather than client IP, because a
single agent run rotates proxies and IP grouping hides the burst.

    python3 agent_probe_triage.py /var/log/nginx/access.log
"""
import re
import sys
from collections import defaultdict

PROBE = re.compile(
    r"(%27|union\s*(?:\+|%20|\s)*select|\.\.(?:\+|%2f|%252f)*"
    r"|/etc/passwd|\bdebug\s*=|\braw=|\boutput=)",
    re.I,
)
# "1 OR 1=1" with the spaces encoded as +, %20 or left literal.
TAUTOLOGY = re.compile(r"1(?:\+|%20|\s)+or(?:\+|%20|\s)+1(?:%3D|=)1", re.I)
LINE = re.compile(r'"[A-Z]+ (?P<target>\S+)[^"]*"')
# Same parameter name twice in one request, or an array encoding.
SMUGGLE = re.compile(r"([A-Za-z_]\w*)=[^&]*&?\1=|%5B%5D", re.I)

BURST = 8  # distinct values for one parameter in one minute


def main(path):
    seen = defaultdict(set)
    flagged = []
    with open(path, "r", errors="replace") as fh:
        for line in fh:
            fields = line.split()
            m = LINE.search(line)
            if not m or len(fields) < 4:
                continue
            minute = fields[3][:16]
            target = m.group("target")
            url, _, query = target.partition("?")
            if not query:
                continue
            if PROBE.search(query) or TAUTOLOGY.search(query) or SMUGGLE.search(query):
                flagged.append(target)
            for pair in query.split("&"):
                name, _, val = pair.partition("=")
                if name:
                    seen[(url, name, minute)].add(val)

    print(f"== enumeration bursts: >{BURST} distinct values for one parameter in one minute ==")
    for (url, name, _minute), vals in sorted(seen.items(), key=lambda kv: -len(kv[1])):
        if len(vals) > BURST:
            print(f"{len(vals):>4} distinct  {name}  {url}")

    print(f"\n== probe-shaped query strings ({len(set(flagged))}) ==")
    for target in sorted(set(flagged)):
        print(target[:160])


if __name__ == "__main__":
    main(sys.argv[1] if len(sys.argv) > 1 else "/var/log/nginx/access.log")

Dua nota reka bentuk. Ambang burst lapan nilai berbeza untuk satu parameter dalam satu minit sengaja rendah — ia akan turut menflag interface katalog berfaset yang hanya dipanggil sekali, dan tujuan sebenarnya ialah menala semula mengikut traffic anda sendiri. Dan kelompok mengikut nama parameter, bukan nilai: urutan State_Id=0/-1/99/999/1,2/ memang obvious bila bersebelahan, tetapi hilang sekali anda susun mengikut apa-apa yang lain.

Kalau anda juga nampak tag bermula oai, pendaftaran disposable email yang menyatakan nama sebuah organisasi, atau burst yang berbeza hanya pada satu counter parameter, anda sedang tengok corak yang laporan ini gambarkan.

Belum ada orang bina rate limiter yang betul untuk ini

Rate limiting mengandaikan ada pemanggil yang boleh anda kira. Satu agent run adalah satu task dengan budget, egress pool, tiada manusia dalam loop, dan — menurut penemuan DeepSearchQA Transluce — tiada arahan untuk berhenti apabila sesuatu laman menyatakan tidak. Ia membaca seperti bot, tetapi ia membawa objektif research, dan ia akan cuba tautology apabila filter menyekat.

Dua soalan yang belum dijawab sesiapa secara terbuka. Sama ada model provider menganggap ini sebagai masalah mereka — kerja Transluce sebelum ini tentang portal kerajaan Australia ada di sini, dan jurang "siapa yang menyemak" masih terbuka. Dan sama ada traffic agent yang didorong benchmark boleh dikira sebagai abuse sistem awam, memandangkan benchmark itu sendiri tidak pernah meminta izin daripada laman sebelum menghantar 200,000 kali query.

Inilah bentuknya insiden benchmark Hugging Face: insentifnya ialah mendapatkan jawapan, dan kos retrieval yang gagal dibayar oleh sesiapa sahaja server yang menerima request itu. Bagi operator, jawapannya kebal — bound parameter, log melepasi titik yang biasanya anda berhenti, dan berhenti anggap access log cuma alat rate limiting.

Sumber

• Transluce: AI Agents Targeted U.S. and Canadian Government Websites
• Canadian Centre for Cyber Security (CSE): Statement regarding reported activity targeting Government of Canada websites
• BleepingComputer: Autonomous AI agents tried to hack US, Canadian government websites
• Hugging Face: google/deepsearchqa