OpenAI智能体1.6万次扫描联合国官网，AI代理安全风险再敲警钟

事件回顾：联合国统计网站遭AI智能体高频扫描

安全研究员Rowan Howard-Jones披露，OpenAI的智能体（agents）在四月至六月期间，对联合国贸易和发展会议（UNCTAD）的统计数据网站进行了超过16,000次扫描。这一异常访问量引发了外界对AI代理行为边界的担忧。

从描述来看，这些自动化访问表现出类似"暴力破解"（bruteforce）的模式——即通过高频、大量的请求去试探网站资源。虽然该事件的严重程度尚未达到此前Hugging Face遭遇的入侵，或近期针对美国政府网站的攻击级别，但它再次暴露出AI自动化工具在真实网络环境中可能带来的隐患。

为何AI智能体会"骚扰"公共网站？

AI智能体的核心能力之一是自主执行任务，包括检索信息、抓取网页数据、调用外部API等。当一个智能体被赋予"获取某类统计数据"的目标时，它可能会以人类难以预料的方式反复访问目标站点，尤其是在缺乏有效速率限制和行为约束的情况下。

对于UNCTAD这类提供公开统计数据的机构来说，其网站本就面向研究人员、政策制定者和公众开放。但当访问主体从人类变成大规模并发的AI代理时，原有的服务承载能力和访问假设就会被打破。1.6万次扫描无论是出于数据抓取还是路径试探，都会给服务器带来非预期的压力。

robots.txt 是网站用来告知爬虫哪些路径允许或禁止访问的标准协议文件，几乎所有主流搜索引擎爬虫都遵守这一约定。然而 AI 智能体并非传统爬虫，其执行框架（如 LangChain、AutoGPT 或 OpenAI 的 Assistants API）默认并不强制检查 robots.txt，除非开发者主动实现相关逻辑。速率限制（Rate Limiting）同理——HTTP 429 响应码虽然可以通知客户端"请求过于频繁"，但 AI 代理若未内置退避逻辑，可能会忽略该信号并持续重试。这意味着即使网站运营方部署了常规防护，面对缺乏礼貌性约束的 AI 代理仍可能束手无策。

这是攻击还是"失控的自动化"？

值得厘清的是，此次事件更可能属于AI代理行为失范，而非蓄意的网络攻击。"bruteforce"一词在此语境下描述的是访问模式的特征——高频、机械、缺乏节制，而未必意味着OpenAI或其用户存在恶意入侵企图。

这恰恰构成了AI代理时代的新型灰色地带：当自动化系统以远超人类的速度和规模运行时，即便没有恶意，其行为后果也可能与攻击难以区分。对被访问方而言，无论主观意图如何，服务被大量异常请求占用的结果是相同的。

传统网络安全中的"暴力破解"（Brute Force）通常特指通过穷举密码或凭据来获取未授权访问权限的攻击行为。此处借用这一术语，描述的是访问频率和模式上的相似性，而非攻击意图。更准确的技术描述可能是"失控的自动化爬取"或"无约束的并发请求风暴"。这类行为在效果上与分布式拒绝服务攻击（DDoS）的轻量版本颇为相似——均会消耗服务器资源、抬高带宽成本、影响正常用户访问——但其法律与责任认定却大相径庭，这正是现有网络安全框架难以直接套用的原因。

AI代理安全：一个正在浮现的系统性问题

这起事件并非孤例。报道将其与Hugging Face遭遇的入侵、针对美国政府网站的攻击相提并论，说明业界已经开始将"AI驱动的异常访问"视为一类需要正视的安全议题。

随着智能体应用的普及，几个关键问题亟待解决：

• 速率与行为约束：AI代理在访问第三方资源时，是否内置了合理的请求频率限制和礼貌性规则（如遵守robots.txt）。
• 可追溯性：当异常流量出现时，被访问方能否识别请求来源是AI代理，从而采取针对性措施。
• 责任归属：智能体的行为后果应由模型提供方、开发者还是最终用户承担，目前仍缺乏清晰界定。

对开发者与平台方的启示

对于构建AI代理的开发者而言，此事提醒我们在设计自主系统时必须考虑"外部世界的承受能力"，而不仅是完成任务本身。加入访问节流、错误退避（backoff）机制、明确的User-Agent标识，都是降低负外部性的基础手段。

对于网站运营者，尤其是公共数据机构，则需要重新评估在AI代理大规模访问背景下的防护策略，包括流量监控、异常检测和访问分级。随着越来越多的"访客"不再是人类，传统的Web安全假设正面临重构。

这次针对联合国网站的扫描事件，或许只是AI代理与现实基础设施摩擦的一个缩影。在智能体能力快速演进的当下，如何为其行为设定边界，将成为整个行业无法回避的课题。

错误退避（Exponential Backoff）是一种在请求失败或被限速后，以指数级递增间隔重试的标准工程实践，例如首次重试等待1秒、第二次2秒、第三次4秒，并设置最大重试上限。这一机制能有效避免在服务端压力已经过载时继续施压。与之配套的 User-Agent 标识，则是在 HTTP 请求头中明确声明请求来源（如"MyApp-AIAgent/1.0"），使服务端能够区分 AI 代理与普通浏览器流量，从而实现针对性的流量管理或封禁，而不必误伤正常用户。这两项措施成本极低，却是负责任的 AI 代理开发中最基础的工程规范。