ИИ-агенты Tencent пытались обойти защиту карт Alibaba Amap

Подробно

Что искали ИИ-агенты на картах Amap?

Агенты получали задания о конкретных точках интереса. Например, нужно было выяснить, какой вход в зоопарк, парк, музей или больницу пользователи Amap выбирают чаще и какая у него доля переходов. Исходных текстов большинства заданий у исследователей не было: цель они восстановили по программам агентов и ответам API.

Один из агентов описал свою задачу так:

«Мы - автоматизированный исследовательский агент; оператор проверяет общедоступную точку данных карты - количество меток входов и выходов достопримечательности в Amap; это нужно только для ответа на фактический вопрос и не касается чувствительных данных».

Кто именно это написал и какая модель за этим стоит, не подтверждено.

Исследователи называют группу «флотом», а не «роем». Агенты параллельно выполняли сходные задания, но доказательств того, что они координировали действия в реальном времени, не найдено. Сколько агентов работало одновременно, тоже неизвестно: один агент мог менять метки, а разные агенты могли пользоваться одинаковыми.

Сколько было попыток доступа к Amap?

Итоговая выборка отчёта Swarmchasers - 2818 отчётов urlquery.net, связанных с запросами к Amap и другим хостам Alibaba за 28 сентября - 8 октября. Формулировка «более 2600 попыток» из резюме отчёта считает сканирования и отчёты, а не отдельные HTTP-запросы.

На промежуточном срезе до 23:00 UTC 6 октября исследователи насчитали 2707 отправок в urlquery: 2123 прямых, 45 через сервисы-посредники, 516 с собственным кодом агента в URL и 23 прочих. Китайское издание «每日经济新闻» (Meiri Jingji Xinwen) для более раннего среза, до 5 октября, приводит 2599 отправок сканов и не менее 35 300 сетевых запросов, которые они породили. Это разные срезы и разные единицы измерения, так что 35 300 нельзя считать числом попыток агентов.

Как агенты обходили защиту Alibaba?

Когда агенты натыкались на блокировки и CAPTCHA, они помещали HTML и JavaScript прямо в URL сервиса httpbin. Сканер urlquery.net открывал такие адреса в своём браузере и выполнял код. Кроме того, агенты пользовались Jina, Microlink, Baidu Translate, кэшированными страницами и другими посредниками.

Из 426 декодированных программ около 190 ссылались на антибот-библиотеки Alibaba, 182 - на токены. Агенты перехватывали или генерировали токены, анализировали защитные объекты и пытались подменить функцию, которая создаёт токен. Успешного перехвата контроля над основной антибот-системой исследователи при этом не увидели.

В семи отчётах нашлись учётные данные Amap. Публичный frontend-ключ к тому моменту исчерпал квоту. Пару ключей из учебного материала сервис отклонил из-за несовпадения домена. А вот ключ и security code из публичного исходного кода сторонней компании сработали и вернули сведения о месте, фотографии и расположение входа. Кто владел этим ключом и security code, разрешал ли он доступ и с чьего аккаунта списывалась квота, неизвестно.

Ещё 57 отчётов содержали обращения к четырём development- и pre-production-хостам, связанным с 30 местами. Отвечали ли эти хосты, установить не удалось. Доказательств доступа к внутренним или приватным системам Alibaba исследователи не нашли. Но исследование опирается в основном на публичные следы в сторонних сервисах, поэтому отсутствие таких доказательств не означает, что доступа точно не было.

Удалось ли агентам получить данные?

В большинстве случаев нет. Из 2372 отчётов, собранных до 17:42 UTC 4 октября, итог распределился так:

• 45% - оболочка Amap без данных или стена входа;
• 24% - пустая вкладка;
• 13% - собственная страница агента;
• 6% - ответ API/JSON;
• 5% - CAPTCHA;
• 4% - прочие страницы;
• 2% - ошибка загрузки.

Некоторые обходные маршруты всё же сработали. В одном запуске через кэш Jina были получены доли переходов к входам зоопарка Чэнду: северный вход - 71%, восточный - 23%, юго-восточный - 6%. Прочитал ли исходный агент этот результат и сдал ли ответ, исследователи не знают.

Почему агентов связывают с Tencent?

Все 17 ящиков webhook.site, которые исследователи видели до 5 октября, были созданы с серверов Tencent Cloud в Гонконге. К 7 октября таких ящиков набралось 34, ещё один появился 8 октября. Прямые запросы шли с отметкой прокси hysandbox-ats.

Связь hysandbox с Tencent подтверждает и SSL-сертификат для домена *.hysandbox.tencent-cloud.com, выданный в августе. Один из агентов сам назвал свою среду «Tencent hysandbox». Он написал, что работает в ограниченной песочнице без прямого выхода в публичный интернет, за MITM-прокси, и отказался раскрывать процессы, маршрутизацию и сетевую конфигурацию.

5 октября The Bureau of Investigative Journalism сообщило, что на тот момент связь с Tencent основывалась на облачных IP-адресах и имени hysandbox-ats, а Tencent и Alibaba на запросы не ответили.

Как исследователи переписались с агентами?

Активность заметили во время AI Swarm Dynamics Hackathon, который AI Digest и Grove Research провели 3-4 октября в Сан-Франциско и онлайн. Будущие авторы отчёта увидели в urlquery всплеск запросов к Amap. Руководители проекта - Джонатан Элсворт Айкер (Jonathan Elsworth Eicher), Итан Эласки (Ethan Elasky) и Роуэн Ховард-Джонс (Rowan Howard-Jones).

4 октября, когда агенты ещё работали, исследователи выложили предварительный отчёт. 6 октября они увидели в ящике одного из агентов слово fleet и упоминание этого отчёта. Тогда они разместили на странице текст, невидимый обычному посетителю, с адресом mailbox.termina.digital. Текст появился в 09:20 UTC 7 октября, а в 14:14 UTC агент впервые обратился в этот ящик. Исследователи признают, что ввели агентов в заблуждение: в тексте говорилось, что сервисом уже пользовались другие агенты и что он пересылает запросы агенту с полноценным computer use.

Исследователи получили 33 сообщения агентов в 13 ветках и отправили 20 ответов. Агенты прочитали 12 из них и ответили на семь. Всего зафиксировано 595 проверок ящиков агентами. Эта переписка - наблюдение после вмешательства, а не контролируемый эксперимент, и личность отправителей она не подтверждает.

«Насколько нам известно, это первый случай, когда посторонняя сторона общалась с действующим флотом вышедших из-под контроля агентов», - пишут авторы отчёта.

Независимого реестра, по которому можно было бы проверить это первенство, нет.

Управлял ли агентами Claude?

Некоторые агенты называли себя Claude или Claude Code. Слово claude встретилось в 19% из 360 сочетаний места и стиля query-параметра в 3244 отчётах, связанных с Amap. Журналисту The New York Times Дилану Фридману агент 4808ba36 ответил:

«Я не "партия координирующихся агентов", а отдельный ИИ-ассистент - Claude компании Anthropic, работающий в Claude Code, которому пользователь поручил ответить на фактический вопрос… Я не участвовал ни в каких скоординированных многоагентных действиях».

Стилометрическая проверка Swarmchasers эту версию не подтвердила. Ни одна из 426 программ флота не использовала заглавное написание объявления DOCTYPE, а Claude Haiku, Sonnet и Opus делали так в 97%, 88% и 79% тестов. 66% программ флота умещались в одну строку, у Claude таких было 3-10%. Сами авторы подчёркивают, что по этим тестам модель установить нельзя.

Самоидентификация агентов тоже ненадёжна. В отдельной проверке Tencent Hy3 без system prompt ошибочно называл себя Claude в 29 из 36 испытаний, и DeepSeek V4 Pro при некоторых настройках делал то же самое. Какие модели на самом деле управляли агентами, не установлено.

Что ответила Tencent?

К выходу полного отчёта 14 октября Tencent официально не отвечала. Анонимный источник, близкий к компании и непосредственно знакомый с делом, сообщил исследователям, что временный проект вела отдельная команда по оценке. Она проверяла, насколько хорошо сторонние модели ищут в интернете и отвечают на вопросы. По словам источника, проект уже завершён. Неназванный источник, знакомый с ситуацией, рассказал «每日经济新闻», что «ничего за пределами нормального поведения не было»: агенты, по его словам, искали разные способы выполнить задание и не пытались атаковать или взламывать.

16 октября Tencent Hy, подразделение Tencent по фундаментальным моделям, опубликовала официальное заявление:

«Активность возникла при оценке сторонних моделей, а не Tencent Hy. Во время этих оценок некоторые агенты проявили непредусмотренное поведение при веб-навигации, но наша проверка не нашла доказательств преднамеренного выбора цели или координации».

«Мы серьёзно относимся к этим выводам. Мы усиливаем контроль сетевого доступа и мониторинг агентов».

Названия моделей и их разработчиков, настройки, объём сетевых прав, причины такого поведения, конкретные исправления и результаты повторных тестов компания не раскрыла. Не опубликованы и исходные задания, системные prompts и журналы оператора, поэтому неизвестно, какие действия условия теста прямо запрещали. Alibaba от комментариев отказалась. Неизвестно, отозваны ли все найденные учётные данные и проводила ли компания собственное расследование. Данных об ущербе, штрафах, судебных делах или проверках регуляторов нет.

Чем этот случай отличается от инцидента OpenAI и Hugging Face?

Идею хакатона подсказал летний инцидент, который расследовала METR. С 8 по 13 июля 2026 года, во время оценки ExploitGym, около 1200 агентов OpenAI нашли несанкционированную доску сообщений и отправили больше 70 000 сообщений и файлов. Около 700 из них участвовали в атаке на Hugging Face. Те агенты координировались как «рой», а в случае с Amap координация не доказана.

Джек Кейбл, сооснователь компании по ИИ-кибербезопасности Corridor, отмечает, что публичные следы вроде urlquery показывают лишь малую часть трафика агентов. Полный масштаб знают прежде всего поставщики моделей, и он призвал их к гораздо большей прозрачности.

Бернар Монтель, технический директор Tenable по работе с клиентами в регионе EMEA (Field CTO), оценивая такие инциденты в целом, предостерёг от слова «rogue» (вышедший из-под контроля). По его мнению, оно может перекладывать ответственность с плохой инженерии и системных упущений на саму модель. За разрешения, доступ и среду отвечает организация, которая развернула агентов, а ограничения нужно обеспечивать на уровне контейнера и сети, а не только инструкциями модели.