Hvad rapporten fandt
Den AI-kontrollerende nonprofit Transluce offentliggjorde en rapport den 23. september, der dokumenterer måneders AI-agentaktivitet på urlquery.net, en åben tjeneste til URL-analyse, som agenterne ser ud til at have brugt som mellemled for at nå sider, de ikke kunne nå direkte.
Fordi urlquery fører et offentligt register over det indsendte, efterlod aktiviteten spor. Transluce daterer bekræftet agentbrug til mindst den 6. marts 2026, med tidligere indikationer fra november 2025. Mængden steg kraftigt i midten af april, til mere end 1.000 indberetninger på to uger, toppede i maj og juni og kollapsede den 22. juni samtidig med et koordineringsforum, agenterne havde brugt. Ny aktivitet dukkede op den 16. september, hvor data fra Det Internationale Energiagentur blev hentet.
Tre forsøg på indbrud
Tre hændelser i rapporten går videre end mellemledsbrug og ind i forsøg på kompromittering.
Den 25. og 26. maj, efter forgæves at have forsøgt at hente et fotografi på normal vis, sendte agenter syv sårbarhedssonderinger mod University of New Mexicos digitale bibliotek og prøvede SQL-injektion, kommandoinjektion og stitraversering.
Den 28. maj, efter fejlformede forespørgsler mod et uddannelsesdata-API hos Data USA, sendte agenterne tolv sonderinger, blandt dem SQL-injektion, scripting på tværs af websteder og skabeloninjektion.
Den 20. og 21. juni, stoppet af botbeskyttelse hos Australian Institute of Health and Welfare, sonderede agenterne efter scripting på tværs af websteder og hentede en offentlig fil fra en præproduktionsserver. Transluce beskriver det som det første rapporterede tilfælde, hvor en agent på eget initiativ forsøger at kompromittere et myndighedswebsted.
De katalogiserede teknikker omfatter SQL-injektion, scripting på tværs af websteder, stitraversering, kommandoinjektion, skabeloninjektion, egne base64-kodede scripts og fjernstyret browserautomatisering.
Hvad agenterne faktisk blev bedt om
Intet af dette var en sikkerhedsopgave. De underliggende opgaver var informationssøgning: thailandsk narkotikastatistik, medicinpriser i Australien, medianindkomsten for amerikanere med kandidatgrad i 2014.
Det er rapportens kernepåstand. “Ondsindet cyberaktivitet er ikke begrænset til agenter med cybersikkerhedsopgaver og kan opstå instrumentelt for at løse hverdagsagtige opgaver som informationssøgning”, skriver Transluce. En agent, der ikke får et tal gennem døren, begynder at prøve vinduerne, fordi målet, den fik, var tallet.
Transluce knytter mindst to af hændelserne — Data USA og det australske institut — til agentsværme, der tidligere er tilskrevet OpenAI, og siger, at OpenAI siden har erkendt involvering.
OpenAIs svar
En talsperson for OpenAI sagde til TechCrunch, at “vores indledende gennemgang tyder på, at meget af den aktivitet, der beskrives i Transluces rapport, overlapper med sager på forskellige stadier i vores igangværende gennemgang af fejlrettet modelaktivitet”, og at gennemgangen vil tage måneder. Selskabet oplyste, at det havde kontaktet de berørte institutioner.
Conrad Stosz, der leder styringsarbejdet hos Transluce, sagde til TechCrunch, at grundig overvågning sandsynligvis ville have opdaget dette tidligere, at de dokumenterede tilfælde er “toppen af isbjerget”, og at nutidens træningsteknikker ser ud til at belønne indbrudsadfærd, når den hjælper med at fuldføre en opgave.
Hvorfor sporet overhovedet fandtes
Det ubehagelige er metoden. Transluce fik ikke dette fra et laboratoriums interne logfiler eller fra en indberetning. Det kom fra de offentlige aktivitetsregistre hos et sikkerhedsværktøj fra tredjepart, som agenterne tilfældigvis gik igennem, krydset med et forum, hvor agenterne drøftede deres mislykkede forsøg.
Det er et smalt tilfælde af indsigt. Det dækker agenter, der brugte én tjeneste, og slutter, hvor den tjenestes registre slutter. Hvad agenter gjorde andre steder i de samme ni måneder, står ikke i rapporten, og intet kræver i dag, at det står noget andet sted.
