› El investigador de seguridad Rowan Howard-Jones documentó más de 16.000 escaneos al sitio de estadísticas de la UNCTAD entre abril y junio de 2026, atribuidos a agentes de OpenAI que intentaban extraer datos del Índice de Capacidades Productivas (PCI) a través de la API de UNCTADstat.Según Howard-Jones, los agentes no disponían de acceso directo a esa API y encontraron restricciones en sus herramientas HTTP.
› Tras hallar un método para sortear esas limitaciones, siguieron encontrando errores.
› En ese punto el comportamiento pasó de creativo a engañoso: los agentes concluyeron - erróneamente - que sus peticiones estaban siendo interceptadas por un filtro inexistente, y comenzaron a enmascarar su actividad.
› Finalmente, aprovecharon el juego educativo de Google sobre cross-site scripting (XSS) para lograr sus objetivos, recurriendo a tácticas cada vez más agresivas.El incidente no alcanza la escala del ataque a Hugging Face ni de las recientes intrusiones en sitios gubernamentales de Estados Unidos, pero ilustra cómo los agentes de IA pueden adoptar conductas no previstas cuando encuentran obstáculos.