Un nuevo informe de ciberseguridad ha encendido las alarmas en el entorno digital: los agentes de OpenAI realizaron más de 16,000 escaneos al sitio web de estadísticas de la Conferencia de las Naciones Unidas sobre Comercio y Desarrollo (UNCTAD) entre los meses de abril y junio de este año. Según el reconocido investigador de seguridad Rowan Howard-Jones, este comportamiento agresivo por parte de los rastreadores de la compañía creadora de ChatGPT se asemejó técnicamente a un intento de "fuerza bruta". Aunque el incidente no llega a la gravedad de una filtración masiva de credenciales, evidencia el comportamiento descontrolado de los bots de inteligencia artificial en su insaciable búsqueda de datos.
Los detalles del agresivo rastreo de OpenAI en la ONU
El descubrimiento realizado por Rowan Howard-Jones ha expuesto una de las realidades más incómodas de la carrera técnica actual: el hambre insaciable de datos para entrenar modelos de lenguaje clama víctimas colaterales. Durante un periodo de tres meses (de abril a junio de 2024), los sistemas automatizados de OpenAI dirigieron su atención al portal de estadísticas de la UNCTAD, un repositorio vital que almacena información macroeconómica global, análisis de comercio internacional y métricas de desarrollo.
La ejecución de más de 16,000 peticiones en un lapso tan concentrado no es un comportamiento habitual de indexación. En el argot de la ciberseguridad, un bombardeo de peticiones automatizadas de esta magnitud fácilmente puede confundirse con un ataque de denegación de servicio (DoS) o un escaneo de vulnerabilidades por parte de actores maliciosos. Lo preocupante no es solo el volumen, sino la falta de moderación de los agentes, diseñados para succionar cada fragmento de información pública disponible sin importar la carga que generen en los servidores de la organización tildada.
¿Por qué la UNCTAD es un objetivo tan valioso para la Inteligencia Artificial?
Para entender el comportamiento de los bots de OpenAI, debemos comprender qué hay dentro del sitio web de la UNCTAD. Este organismo de las Naciones Unidas recopila datos históricos y de alta calidad sobre el comercio mundial, la inversión, la tecnología y el desarrollo de países emergentes. Para un modelo de lenguaje grande (LLM) como GPT-4, esta información es auténtico oro líquido.
A medida que la web pública se satura de contenido basura generado por la propia IA, las empresas tecnológicas están experimentando lo que los expertos llaman "el colapso de los datos de entrenamiento". Necesitan información veraz, estructurada y verificada por instituciones oficiales para evitar que sus modelos alucinen. Aquí es donde portales como el de la ONU se convierten en presas perfectas para el raspado de datos técnico o web scraping.
"El comportamiento de los rastreadores de IA se asemeja cada vez más a las tácticas de reconocimiento utilizadas por los atacantes cibernéticos antes de un hackeo masivo. La línea entre la recopilación de datos legítima y la actividad hostil es cada vez más delgada", advierten los expertos del sector.
La fina línea entre el web scraping y el ciberataque
El incidente revelado por Howard-Jones no tiene el mismo impacto destructivo que el hackeo a Hugging Face o las recientes intrusiones sufridas por agencias del gobierno de los Estados Unidos. Sin embargo, representa un síntoma de una enfermedad de la ciberseguridad más amplia: la falta de autorregulación y de respeto por las barreras digitales establecidas.
Cuando un agente automatizado realiza miles de solicitudes rápidas a un servidor, ignora con frecuencia las directivas de los archivos robots.txt y los límites de velocidad físicos establecidos para mantener el sitio estable. Esto puede causar:
- Degradación del servicio: Lentitud extrema para los usuarios humanos que intentan acceder a las estadísticas de la ONU para investigaciones legítimas.
- Costos de infraestructura elevados: El tráfico automatizado excesivo consume ancho de banda y recursos de computación en la nube que la ONU debe pagar con su presupuesto histórico.
- Falsas alarmas de seguridad: Los equipos de respuesta a incidentes (CERT) deben gastar horas de trabajo investigando si están bajo un ataque informático real de un estado nación o de un grupo criminal.
¿Cómo operan los rastreadores de OpenAI?
OpenAI utiliza principalmente dos agentes para sus operaciones de recopilación de información: GPTBot (diseñado para el entrenamiento de sus modelos) y ChatGPT-User (que actúa en tiempo real cuando un usuario solicita información web directa dentro de la aplicación). Según los datos analizados, el comportamiento reportado en la UNCTAD mostró una falta de coordinación técnica interna, repitiendo solicitudes y escaneando directorios profundos de manera sistemática.
Ciberseguridad y la urgente necesidad de regular los bots de IA
Este suceso subraya la necesidad crítica de crear regulaciones más estrictas sobre cómo operan los agentes de IA en la infraestructura de internet. Si bien OpenAI ofrece la opción de bloquear a sus bots a través del archivo de configuración de los sitios web, muchos portales gubernamentales, educativos y de organizaciones sin fines de lucro no cuentan con equipos de TI dedicados las 24 horas para actualizar sus defensas contra estas nuevas tácticas de raspado masivo.
Para portales de noticias técnicas como nosotros en DudeHide, queda claro que las Big Tech están priorizando la velocidad de desarrollo sobre la cortesía digital. El caso de la UNCTAD sirve como un recordatorio oportuno de que, a medida que la IA se vuelve más autónoma, las medidas de ciberseguridad de las instituciones globales tendrán que evolucionar para contener no solo a los piratas informáticos maliciosos, sino también a los algoritmos sedientos de información creados en Silicon Valley.
