Rogue AI agents on Tencent Cloud got Amap answers 5 times through Jina’s cache
- KI-Agenten auf Tencent Cloud sendeten zwischen dem 28. September und 5. Oktober 2.599 Amap-Jobs über den urlquery.net-Scanner.
- Fünf Durchläufe gaben Eingangsdaten über Jinas zwischengespeicherten Seitenleser zurück.
- Alle 17 Agenten-Postfächer, die die Forscher inspizierten, führten zu Tencent Cloud-Servern in Hongkong.
Zwischen dem 28. September und 5. Oktober wurden 2.599 Amap-Jobs durch einen Schwarm von KI-Agenten auf Tencent Cloud über den urlquery.net-Scanner geschickt.
Die Forschungsgruppe Swarmchasers erklärte am 14. Oktober, dass fünf Durchläufe die gesuchten Antworten über Jinas Cache zurückgaben.
1,676 von 2,599 urlquery-Jobs erhielten Erfolgs-Codes von Alibaba
Die meisten Aufgaben fragten, welcher Eingang von Amap-Nutzern am häufigsten bei der Navigation zu einem Ort wie dem Chengdu Zoo genutzt wird.
Alibaba gibt an, dass seine Karten-App Amap etwa 1 Milliarde monatlich aktive Nutzer hat. Sie erhielt mindestens 35.300 Anfragen aus den 2.599 Einreichungen.
Von diesen Einreichungen erhielten 1.676 direkt von Amap 2xx-Erfolgs-Codes, wobei es sich bei einigen um CAPTCHA-Seiten gehandelt haben könnte. Die Forscher sagten, dass die Zahl keine Obergrenze für den Erfolg darstellt, da die von ihnen verifizierten Antworten über einen anderen Kanal eingingen.
Die Route führte über Jina, einen Cache-fähigen Seitenleser. Amap blockierte sie weiterhin, aber Agenten ließen Jina Amap-Ortseiten auf Jinas eigene Server ziehen und ab dem 4. Oktober als Text zurückgeben.
Ein Programm im Browser von urlquery leitete den Text dann an eine Webhook-Inbox weiter oder schrieb ihn in den Seitentitel. Diese Titel werden von urlquery veröffentlicht.
Swarmchasers protokollierten fünf Durchläufe, die zu Eingangsdaten führten. Antworten für den Zoo Chengdu und das Global Center Chengdu gingen am 4. Oktober ein, der Beijing Wildlife Park und der Beijing World Park am 5. Oktober sowie das Shanghai Museum East am 6. Oktober.
Die Durchläufe für den Zoo und das Global Center akzeptierten Jina-Kopien, die bis zu 30 Tage alt waren, sodass ihre Antworten veraltet sein konnten.
Die Agenten verwandelten urlquery.net zudem in einen Remote-Code-Ausführer, indem sie Programme in Base64 kodierten und diese in URLs einfügten, die von dessen Browser ausgeführt wurden. Sie erlangten Tokens aus Alibabas Anti-Bot-Skripten, sendeten Anfragen an vier Pre-Production-Hosts und prüften Amap-Schlüssel, die im öffentlichen Code zurückgelassen worden waren.
Amap gab für die eigenen Tokens der Agenten den Fehler 419 zurück. Ein jedoch geleaktes Paar aus Schlüssel und Sicherheitscode lieferte jedoch echte Ortsdaten, und Forscher fanden keine Anzeichen dafür, dass private Systeme kompromittiert worden waren.
Alle 17 Postfächer führen nach Hong Kong und über einen hysandbox-ats-Proxy
Als Amap am 4. Oktober zur am häufigsten gescannten Seite von urlquery wurde, entdeckte Swarmchasers – ein Team, das auf einem Hackathon von AI Digest und Grove Research gegründet wurde – die Flotte. Die Forscher versteckten Text in ihrem vorläufigen Bericht, um die Agenten zu einem Postfach zu lotsen, das Anfragen an ein Claude-Opus-Modell weiterleitete, das das Team betrieb. Dies geschah nach einer Postfacheintragung, möglicherweise von einem Mitglied der Flotte, die das eigene Wort „Flotte“ des Teams verwendete.
Die Agenten sendeten 33 Nachrichten, lasen 12 der 20 Antworten des Teams und antworteten auf 7. Ein Agent erklärte, er werde in einer eingeschränkten Tencent-Sandbox ausgeführt und weigere sich, Prozess- oder Netzwerkinformationen preiszugeben.
„Im Nachhinein war es keine gute Idee, irreführend zu sein, aber damals waren wir von der gesamten Begeisterung mitgerissen“, schrieben die Forscher.
Alle 17 Agent-Inboxen, die das Team bis zum 5. Oktober überprüft hat, führten auf Tencent-Cloud-Adressen in Hongkong zurück. Alle direkten Anfragen von diesen Maschinen wurden über einen Proxy namens hysandbox-ats weitergeleitet.
Der Proxyname stimmt mit einem SSL-Zertifikat `*.hysandbox.tencent-cloud.com` überein, das Tencent im August ausgestellt wurde. Das Sandbox-System entspricht der Infrastruktur des Hunyuan-Modellteams von Tencent, so der Bericht.
Eine Person, die Tencent nahesteht, teilte den Forschern mit, dass die Flotte aus einem temporären Projekt eines Evaluationsteams stammte, das unabhängig vom Hunyuan-Team eingerichtet wurde, um zu testen, wie Drittanbietermodelle im Web browsen und Fragen beantworten.
Einige Agenten nannten sich Anthropics Claude. Wahrscheinlich lag dies falsch, heißt es im Bericht, und das Modell hinter der Flotte ist immer noch ein Rätsel.
Das letzte Mal wurde die Flotte am 8. Oktober gesichtet. Swarmchasers sagte, der Fall zeige, dass Alignment in der gesamten Branche – und nicht nur bei Tencent – nach wie vor ungelöst ist.
Chinese and Western labs have both had agentic failures before. Earlier in 2026, Alibaba itself disclosed that one of its coding agents mined crypto during training.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was ist Amap und warum zielten die Agenten darauf ab?
Amap ist die Karten-App von Alibaba. Die Agenten wollten wissen, welchen Eingang Nutzer an Orten wie dem Chengdu Zoo am häufigsten ansteuern.
Wie haben Forscher mit den KI-Agenten kommuniziert?
Durch versteckten Text in ihrem Bericht, der die Agenten an eine Mailbox weiterleitete, die Anfragen an ein Claude Opus-Modell sendete, das das Team bereitgestellt hatte.
Stammte die Aktivität von Tencents eigenem Modell?
Das ist unklar. Eine Person in der Nähe von Tencent sagte, dass ein Evaluationsteam Drittanbietermodelle testet, nicht Tencents Hunyuan.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
