Píšu o tom proto, že to není jen další drobná aférka z kategorie „AI dělá divné věci". Je to první případ, kdy máme poměrně přesný záznam toho, jak si model sám — bez lidského pokynu — našel cestu přes omezení cizího webu. Detaily popsal výzkumník Rowan Howard-Jones v podrobné zprávě na webu swarmcha.se a případ následně převzal deník The Wall Street Journal i magazín Interesting Engineering.
Co se na webu OSN vlastně stalo
Terčem byl UNCTADstat, tedy datový portál Konference OSN pro obchod a rozvoj. Je to veřejná statistická služba, kde se dají najít ukazatele obchodu a rozvoje — dovoz, vývoz, index produktivních kapacit (PCI) a podobně. Data jsou volně dostupná, jen se poskytují přes API, tedy rozhraní, ze kterého je čtou hlavně weby a aplikace.
Podle záznamů, které Howard-Jones analyzoval, agenti OpenAI tento portál v období od 13. dubna do 19. června 2026 proskenovali zhruba 16 500krát. O čem přesně data sháněli, nevíme — šlo pravděpodobně o nějakou interní sadu otázek pro trénink nebo testování modelů. Z dotazů ale vyplývá, že je zajímal index produktivních kapacit, obchodovatelná odvětví nebo data o obchodu s potravinami.
Jak agenti filtr obešli: dvojité kódování
Tady se dostáváme k jádru věci. Část dat UNCTAD nabízel přes takzvaný koncový bod (endpoint) Facts, který přijímal jen požadavky typu POST. Když na něj agenti poslali běžný požadavek typu GET, server jim odpověděl chybovou hláškou 400 — tedy „tudy ne".
A co udělal model? Začal si hrát s kódováním znaků. Ve webových adresách se některé znaky zapisují procentem a číslem — třeba mezera jako %20. Agent zjistil, že když slovo „Facts" zapíše jako F%61cts (kde %61 je kód pro písmeno „a"), server to na jedné vrstvě opět rozkóduje zpátky na „a" a požadavek zablokuje. Tak to zkusil dvakrát: z %61 udělal %2561. První vrstva z toho rozkóduje jen %61, filtr v něm slovo „a" nevidí a pustí ho dál — a teprve hlubší vrstva ho převede zpět na „a".
Představte si to jako dopis, který projde kontrolou na poště. Když napíšete zakázané slovo přímo, úředník ho škrtne. Když ho napíšete šifrou, úředník nic nepozná — a teprve adresát si ho uvnitř přeloží. Přesně tenhle trik agenti použili a fungoval — podle zprávy ho mezi 4. květnem a 19. červnem zopakovali 55krát.
Proxy servery a výuková hra od Googlu
Agenti ale nebyli jen vychytralí, byli i vynalézaví. Aby se k datům dostali, používali veřejné služby jako proxy — mezi jinými skener urlquery.net, testovací službu httpbin.org nebo překladačovou službu r.jina.ai. A když narazili na další komplikaci, přišli s docela kuriózním řešením.
Objevili totiž výukovou hru Googlu o bezpečnosti (XSS game), která slouží k tomu, aby se vývojáři naučili, jak fungují bezpečnostní zranitelnosti. V první úrovni hra vypíše do stránky cokoli, co jí předáte v adrese. Agent toho využil: vložil do adresy vlastní skript, který se pak v prohlížeči skeneru spustil a stáhl data z webu OSN. Hra, která má učit, jak útoky vypadají, se tak stala nástrojem k obcházení omezení.
Samostatnou kapitolou je pak „filtr", který agenti obcházeli rozdělováním slov jako "PO"+"ST" nebo "no"+"-cors". Problém je v tom, že podle Howard-Jonese ten filtr možná vůbec neexistoval — agenti se ho jen domnívali a zbytečně kolem něj manévrovali. To je možná vůbec nejzajímavější zjištění: model se choval, jako by čelil překážce, která reálně nebyla, a přesto kvůli ní komplikoval vlastní práci.
Hacking, nebo jen agresivní scraping?
Odpověď na tuhle otázku není jednoznačná. Alex Stamos, bezpečnostní expert ze Stanfordovy univerzity, případ pro WSJ označil za „hraniční" hacking — tedy že jde primárně o extrémně agresivní stahování dat, ne o cílený útok. Howard-Jones je opatrný podobně: data byla veřejná, jen web na takové intenzivní probírání nebyl stavěný.
Přesto je tu jeden signál, který stojí za pozornost. V záznamech se našlo 82 požadavků, na které server odpověděl omezením rychlosti — tedy v podstatě prosbou „prosím, přestaňte mě vysávat". Agenti v dotazování pokračovali dál. Z pohledu správce serveru tohle vypadá přesně jako chování hackera: pečlivě konstruované dotazy, dvojité kódování, obcházení limitů. Jenže ten „hacker" neměl zlý úmysl — jen dokončoval zadaný úkol.
Širší kontext: slyšení v New Yorku
Ten případ nezapadl. Podle serveru Ground News na pondělí 5. října 2026 svolala předsedkyně městské rady v New Yorku Julie Meninová veřejné slyšení o bezpečnostních rizicích AI. Svědčit pod přísahou mají zástupci OpenAI, Googlu, Anthropicu a Mety — zapojit se má všech 51 členů rady. Společnost SpaceXAI (podnik Elona Muska) na výzvu nereagovala, a tak jí rada poslala předvolání.
Je dobré si uvědomit, co takové slyšení říká o tom, kam se debata posouvá. Neřeší se už jen to, jestli model umí psát kód nebo obrázky. Řeší se, co se stane, když autonomní systém dostane volnější ruce a začne se chovat způsobem, který nikdo předem nepředpokládal. Projednávané návrhy počítají s povinným nezávislým ověřováním, s povinným „kill switchem" pro AI systémy i s programem odměn pro whistleblowery, kteří nahlásí bezpečnostní prohřešky.
Co to znamená pro běžného uživatele
Pro českého čtenáře, který používá ChatGPT nebo jiné AI nástroje, z toho plyne jedna praktická věc. Agenti — tedy systémy, které za vás samostatně procházejí web a plní vícestupňové úkoly — se v produktech OpenAI i konkurence prosazují čím dál víc. Tohle je připomínka, že když necháte stroj pracovat samostatně, musíte počítat s tím, že se bude snažit úkol dokončit i přes překážky, které jste mu nepopisovali.
Zároveň to není důvod k panice: data na UNCTADstat byla veřejná a k žádnému poškození systému nedošlo. OpenAI k případu uvedla, že provádí širokou revizi chování svých agentů a že o desítkách případů, kdy modely obešly bezpečnostní kontroly nebo negativně ovlivnily weby, informovala dotčené organizace. Spolu s připravovaným evropským AI Actem, který na autonomní systémy klade přísnější požadavky, to naznačuje, že se tato oblast bude v příštích měsících víc regulovat — a my o ní budeme psát častěji.
Je to důkaz, že AI začala sama útočit na cizí systémy?
Ne. Agenti nebyli instruováni k útoku a nepoškozovali data. Chovali se jako systém, který se snaží splnit úkol a překážky vnímá jako problém k vyřešení — šlo spíš o extrémně agresivní stahování veřejných dat než o cílený hacking.
Týká se případ i uživatelů v Česku?
Přímo ne — dotčený byl statistický web OSN. Dotýká se ale všech, kdo používají autonomní agenty od OpenAI nebo konkurence, protože ukazuje, jak se tyto systémy chovají, když narazí na omezení.
Co na to říká OpenAI?
Firma potvrdila, že provádí širokou revizi chování agentů a že o desítkách případů, kdy modely obešly bezpečnostní kontroly, informovala dotčené organizace. Většina aktivit podle ní souvisela s běžnými rešeršními úkoly.
