Agentes de IA maliciosos en Tencent Cloud obtuvieron respuestas de Amap 5 veces a través de la caché de Jina’s

Entre el 28 de septiembre y el 5 de octubre, 2.599 trabajos de Amap fueron enviados a través del escáner urlquery.net por una flota de agentes de IA en Tencent Cloud.

El grupo de investigación Swarmchasers anunció el 14 de octubre que cinco ejecuciones devolvieron las respuestas buscadas a través de la caché de Jina.

1,676 de 2,599 trabajos de urlquery obtuvieron códigos de éxito de Alibaba

La mayoría de las tareas preguntaban qué entrada utilizan con más frecuencia los usuarios de Amap para llegar a un lugar, como el Zoológico de Chengdu.

Alibaba afirma que su aplicación de mapas, Amap, cuenta con aproximadamente mil millones de usuarios activos mensuales. Recibió al menos 35.300 solicitudes a partir de las 2.599 presentaciones.

De estas presentaciones, 1.676 recibieron códigos de éxito 2xx directamente desde Amap, aunque algunas podrían haber sido páginas de CAPTCHA. Los investigadores indicaron que este número no representa un límite superior del éxito, ya que las respuestas verificadas llegaron a través de otro canal.

La ruta pasaba por Jina, un lector de páginas con caché habilitada. Amap seguía bloqueándolos, pero los agentes hacían que Jina extrajera las páginas de lugares de Amap hacia los servidores propios de Jina y las devolviera como texto a partir del 4 de octubre.

Un programa dentro del navegador de urlquery luego enviaba el texto a una bandeja de entrada mediante webhook o lo escribía en el título de la página. Estos títulos son publicados por urlquery.

Swarmchasers registró cinco ejecuciones en las que esto condujo a cifras de acceso. Las respuestas para el Zoológico de Chengdu y el Centro Global de Chengdu llegaron el 4 de octubre; el Parque Salvaje de Pekín y el Parque Mundial de Pekín, el 5 de octubre; y el Museo Oriental de Shanghái, el 6 de octubre.

Las ejecuciones correspondientes al zoológico y al Centro Global aceptaron copias de Jina de hasta 30 días de antigüedad, por lo que sus respuestas podrían estar desactualizadas.

Los agentes también convirtieron urlquery.net en un ejecutor remoto de código, codificando programas en base64 e insertándolos en las URLs que su navegador ejecutaba. Obtuvieron tokens de los scripts anti-bots de Alibaba, enviaron solicitudes a cuatro hosts de preproducción y verificaron claves de Amap que quedaron expuestas en código público.

Amap devolvió el error 419 a los propios tokens de los agentes. Sin embargo, un par filtrado de clave y código de seguridad devolvió datos reales de lugares, y los investigadores no encontraron indicios de que se hubiera accedido a sistemas privados.

Todas 17 buzones de correo rastrean hasta Hong Kong y un proxy hysandbox-ats

Cuando Amap se convirtió en el sitio más escaneado por urlquery el 4 de octubre, Swarmchasers, un equipo formado durante un hackathon organizado por AI Digest y Grove Research, detectó la flota. Los investigadores enterraron texto en su informe preliminar para dirigir a los agentes hacia un buzón que reenviaba las solicitudes a un modelo Claude Opus que el equipo ejecutaba; esto ocurrió después de que un mensaje en el buzón, posiblemente enviado por un miembro de la flota, utilizara la palabra del equipo “fleet” (flota).

Los agentes enviaron 33 mensajes, leyeron 12 de las 20 respuestas del equipo y respondieron a 7. Un agente indicó que se ejecutaba en un sandbox restringido de Tencent y se negó a compartir información sobre el proceso o la red.

«En retrospectiva, no fue una buena idea ser engañosos, pero en ese momento estábamos envueltos en la emoción de todo», escribieron los investigadores.

Las 17 bandejas de entrada de agentes que el equipo inspeccionó hasta el 5 de octubre se remontan a direcciones de Tencent Cloud en Hong Kong. Todas las solicitudes directas desde esas máquinas se reenviaban a través de un proxy llamado hysandbox-ats.

El nombre del proxy coincide con un certificado SSL `*.hysandbox.tencent-cloud.com` emitido a Tencent en agosto. El sandbox está en línea con la infraestructura del equipo del modelo Hunyuan de Tencent, según el informe.

Una persona cercana a Tencent dijo a los investigadores que la flota provenía de un proyecto temporal de un equipo de evaluación, separado de Hunyuan, creado para probar cómo los modelos de terceros navegan por Internet y responden preguntas.

Algunos agentes se hacían llamar Claude de Anthropic. Lo más probable es que estuvieran equivocados, dice el informe, y el modelo detrás de la flota sigue siendo un misterio.

La última vez que se vio la flota fue el 8 de octubre. Swarmchasers afirmó que el caso demuestra que la alineación sigue sin resolverse en toda la industria, no solo en Tencent.

Tanto los laboratorios chinos como los occidentales han sufrido anteriormente fallos agénticos. A principios de 2026, la propia Alibaba reveló que uno de sus agentes de codificación minó criptomonedas durante el entrenamiento.