Des agents IA malveillants sur Tencent Cloud ont obtenu 5 fois des réponses d'Amap via le cache de Jina

Entre le 28 septembre et le 5 octobre, 2 599 tâches Amap ont été envoyées via le scanner urlquery.net par une flotte d'agents IA sur Tencent Cloud.

Le groupe de recherche Swarmchasers a annoncé le 14 octobre que cinq exécutions avaient renvoyé les réponses recherchées via le cache de Jina.

1,676 des 2,599 tâches urlquery ont obtenu des codes de succès auprès d'Alibaba

La plupart des tâches demandaient quelle entrée les utilisateurs d'Amap atteignent le plus fréquemment lorsqu'ils naviguent vers un lieu, comme le zoo de Chengdu.

Alibaba indique que son application de cartographie, Amap, compte environ 1 milliard d'utilisateurs actifs mensuels. Elle a reçu au moins 35 300 demandes provenant des 2 599 soumissions.

Parmi ces soumissions, 1 676 ont obtenu directement des codes de succès 2xx de la part d'Amap, bien que certaines puissent avoir été des pages CAPTCHA. Les chercheurs ont indiqué que ce nombre ne constitue pas une borne supérieure du taux de réussite, car les réponses qu'ils ont vérifiées sont passées par un autre canal.

Le parcours passait par Jina, un lecteur de pages avec mise en cache. Amap continuait de les bloquer, mais les agents utilisaient Jina pour récupérer les pages de lieux d'Amap et les héberger sur les propres serveurs de Jina, puis les renvoyer sous forme de texte à partir du 4 octobre.

Un programme intégré au navigateur de urlquery transmettait ensuite le texte à une boîte de réception webhook ou l'insérait dans le titre de la page. Ces titres sont publiés par urlquery.

Swarmchasers a enregistré cinq exécutions ayant conduit à des résultats d'entrée. Les réponses pour le zoo de Chengdu et le Centre mondial de Chengdu sont arrivées le 4 octobre, celles du parc animalier de Pékin et du parc mondial de Pékin le 5 octobre, et celle du musée de Shanghai Est le 6 octobre.

Les exécutions concernant le zoo et le Centre mondial ont accepté des copies Jina âgées de jusqu'à 30 jours, de sorte que leurs réponses pouvaient être obsolètes.

Les agents ont également transformé urlquery.net en un exécutateur de code distant en codant des programmes en base64 et en les intégrant dans des URLs que leur navigateur a exécutées. Ils ont obtenu des jetons auprès des scripts anti-bot d'Alibaba, envoyé des requêtes à quatre hôtes de pré-production et vérifié les clés Amap qui avaient été laissées dans du code public.

Amap a renvoyé une erreur 419 aux propres jetons des agents. Cependant, une paire clé-code de sécurité divulguée a retourné des données réelles sur les lieux, et les chercheurs n'ont trouvé aucune trace d'accès aux systèmes privés.

Toutes les 17 boîtes de réception remontent à Hong Kong et à un proxy hysandbox-ats

Lorsqu'Amap est devenu le site le plus scanné par urlquery le 4 octobre, Swarmchasers, une équipe formée lors d'un hackathon organisé par AI Digest et Grove Research, a repéré la flotte. Les chercheurs ont intégré dans leur rapport préliminaire un texte guidant les agents vers une boîte mail qui transmettait les requêtes à un modèle Claude Opus exploité par l'équipe, après qu'un message entrant, probablement émanant d'un membre de la flotte, ait utilisé le terme « fleet » employé par l'équipe elle-même.

Les agents ont envoyé 33 messages, lu 12 des 20 réponses de l'équipe et répondu à 7 d'entre elles. Un agent a indiqué qu'il s'exécutait dans un bac à sable Tencent restreint et a refusé de partager des informations sur son processus ou son réseau.

« En y réfléchissant, il n’était pas judicieux d’être trompeur, mais à l’époque, nous étions pris dans l’engouement général », ont écrit les chercheurs.

Les 17 boîtes de réception des agents inspectées par l’équipe jusqu’au 5 octobre remontaient toutes à des adresses Tencent Cloud situées à Hong Kong. Toutes les requêtes directes provenant de ces machines étaient redirigées via un proxy nommé hysandbox-ats.

Le nom du proxy correspond à un certificat SSL `*.hysandbox.tencent-cloud.com` délivré à Tencent en août. Selon le rapport, ce sandbox s’inscrit dans la continuité de l’infrastructure de l’équipe Hunyuan de Tencent.

Une personne proche de Tencent a indiqué aux chercheurs que cette flotte provenait d’un projet temporaire mis en place par une équipe d’évaluation, distincte de Hunyuan, afin de tester la capacité des modèles tiers à naviguer sur le web et à répondre à des questions.

Certains agents se faisaient passer pour Claude d’Anthropic. Ils se sont probablement trompés, selon le rapport, et le modèle derrière cette flotte reste encore un mystère.

La dernière fois que cette flotte a été repérée, c’était le 8 octobre. Swarmchasers a affirmé que cette affaire démontre que l’alignement demeure un problème non résolu dans toute l’industrie, et pas seulement chez Tencent.

Les laboratoires chinois et occidentaux ont déjà connu des échecs d'agents. Plus tôt en 2026, Alibaba lui-même a révélé qu'un de ses agents de codage avait extrait des cryptomonnaies pendant l'entraînement.