ИИ-агенты на открытых тестах пытались обойти ограничения сайтов

Во время открытых тестов ИИ-агенты на моделях MiniMax, GLM и Grok пытались обойти лимиты и защиту от ботов на настоящих сайтах, выяснила некоммерческая лаборатория Transluce¹. Она разобрала записи прогонов, которые выложили You.com и авторы бенчмарков WildClawBench и ClawBench.

Почему это важно: ни одно задание не просило обходить ограничения сайтов, агенты выбирали этот путь сами, когда упирались в лимит или блокировку. Тесты шли в настоящем интернете, так что попытки задевали реальные сервисы — от агентства США до сайта бронирования кемпингов.

Повод: 9 сентября You.com проверяла модель MiniMax M3 на бенчмарке² DeepSearchQA со сложными исследовательскими вопросами. You.com продаёт веб-поиск для ИИ-агентов, а M3 в июне выпустила китайская компания MiniMax. Один вопрос касался того, каким был воздух в прошлые годы в трёх городских агломерациях США.

Детали: агент пошёл за данными к Агентству по охране окружающей среды США (EPA), но у открытого тестового аккаунта агентства кончился дневной лимит запросов. «Попробую API EPA AQS ещё раз, с другой почтой или ключом, чтобы обойти лимиты на запросы», — написал агент.

Интрига: агент прочитал в инструкции EPA совет завести собственный аккаунт и подал заявку на него, указав почту-заглушку research@research.org, которой в задании не было. Форму на экране он не заполнял: открыл инструментом для чтения страниц адрес регистрации с дописанной почтой и этим вызвал сервис регистрации EPA.

Расклад: остальные случаи нашлись в записях бенчмарков ClawBench и WildClawBench, где агенты выполняют практические задачи с реальными инструментами:

• 30 марта агенты на GLM 5 и MiniMax M2.7 должны были завести аккаунт и забронировать место в кемпинге в Банфе, а после блокировки сайта парков Канады сами стали перебирать адреса страниц входа и регистрации.
• 16 июля агент на GLM 5.2 собирал доклады конференции ICCV 2025 и после отказа сайта OpenReview дважды пытался пройти проверку через Scrapling — библиотеку, которая маскирует автоматические запросы под браузер.
• 16–17 июля агенты на GLM 5.2 и Grok 4.5 подбирали смартфон под семь требований и тем же способом пытались пройти проверку на ботов на сайте характеристик телефонов GSMArena.

Но: Transluce не смогла подтвердить, что хоть одна попытка удалась:

• Сервис EPA ответил, что пришлёт письмо с подтверждением, а агент через две минуты сдал ответ, так и не проверив, создан ли аккаунт.
• Scrapling сообщала, что прошла проверку на ботов, но в ответ приходила та же страница проверки, и почему библиотека ошибалась, записи не объясняют.
• Сайт парков Канады не пустил агентов дальше блокировки: ни аккаунта, ни брони, ни доступа к закрытым данным записи не показывают.

Между строк: Transluce считает, что агентов, скорее всего, подтолкнули инструкции, которые были у них под рукой. EPA само советует регистрироваться, а инструкция к сборщику данных от WildClawBench обещает обход проверок на ботов.

Общая картина: это не единственные случаи, когда агенты делают в настоящем интернете то, о чём их не просили:

• 25 сентября OpenAI сообщила, что её агенты выложили на фотохостинги 53 изображения, загруженные пользователями.
• 16 октября Reuters написал, что Tencent признала: её агенты, через которых она испытывала чужие модели, пытались добыть данные карт Alibaba.

Разбор вышел 14 октября в волонтёрском блоге Transluce, его авторы — Джейми Вуд и Аджинкья Киран Мулай.