Agenti AI rogue su Tencent Cloud ottengono risposte da Amap 5 volte tramite la cache di Jina

Tra il 28 settembre e il 5 ottobre, 2.599 job Amap sono stati inviati attraverso lo scanner urlquery.net da una flotta di agenti AI su Tencent Cloud.

Il gruppo di ricerca Swarmchasers ha annunciato il 14 ottobre che cinque esecuzioni hanno restituito le risposte cercate tramite la cache di Jina.

1,676 di 2,599 job urlquery hanno ricevuto codici di successo da Alibaba

La maggior parte delle attività chiedeva quale ingresso gli utenti di Amap raggiungono più frequentemente quando navigano verso un luogo, come lo Zoo di Chengdu.

Alibaba afferma che la sua app di mappatura, Amap, conta circa 1 miliardo di utenti attivi mensili. Ha ricevuto almeno 35.300 richieste dalle 2.599 segnalazioni.

Di queste segnalazioni, 1.676 hanno ottenuto codici di successo 2xx direttamente da Amap, sebbene alcune potessero essere pagine CAPTCHA. I ricercatori hanno dichiarato che il numero non rappresenta un limite superiore al successo, poiché le risposte verificate sono giunte attraverso altri canali.

Il percorso passava per Jina, un lettore di pagine con cache abilitata. Amap continuava a bloccarli, ma gli agenti stavano facendo sì che Jina recuperasse le pagine dei luoghi di Amap sui propri server e le restituisse come testo a partire dal 4 ottobre.

Un programma all'interno del browser di urlquery passava quindi il testo a una casella di posta webhook o lo scriveva nel titolo della pagina. Questi titoli vengono pubblicati da urlquery.

Swarmchasers ha registrato cinque esecuzioni in cui ciò ha portato a dati di accesso. Le risposte per lo Zoo di Chengdu e il Global Center di Chengdu sono arrivate il 4 ottobre, quelle del Parco Faunistico di Pechino e del World Park di Pechino il 5 ottobre, e quelle del Museo di Shanghai Est il 6 ottobre.

Le esecuzioni relative allo zoo e al Global Center hanno accettato copie Jina fino a 30 giorni vecchie, quindi le loro risposte potrebbero essere obsolete.

Gli agenti hanno anche trasformato urlquery.net in un esecutore di codice remoto codificando i programmi in base64 e inserendoli negli URL eseguiti dal suo browser. Hanno ottenuto token dagli script anti-bot di Alibaba, inviato richieste a quattro host pre-produzione e verificato le chiavi Amap lasciate nel codice pubblico.

Amap ha restituito l'errore 419 ai token degli stessi agenti. Tuttavia, una coppia chiave-codice di sicurezza trapelata ha restituito dati reali sui luoghi, e i ricercatori non hanno trovato segni che i sistemi privati fossero stati accessi.

Tutte 17 caselle di posta tracciano verso Hong Kong e un proxy hysandbox-ats

Quando Amap è diventato il sito più scansionato da urlquery il 4 ottobre, Swarmchasers, un team formato durante un hackathon organizzato da AI Digest e Grove Research, ha individuato la flotta. I ricercatori hanno inserito testo nel loro rapporto preliminare per indirizzare gli agenti verso una casella di posta che inoltrava le richieste a un modello Claude Opus gestito dal team; dopo un messaggio nella casella, probabilmente proveniente da un membro della flotta, era stata usata la parola del team "fleet".

Gli agenti hanno inviato 33 messaggi, letti 12 delle 20 risposte del team e risposto a 7. Un agente ha dichiarato di essere eseguito in una sandbox Tencent ristretta e si è rifiutato di condividere informazioni sul processo o sulla rete.

«In retrospettiva, non è stata una buona idea essere fuorvianti, ma in quel momento eravamo travolti dall'eccitazione generale», hanno scritto i ricercatori.

Tutte le 17 caselle di posta degli agenti ispezionate dal team fino al 5 ottobre risalgono a indirizzi Tencent Cloud a Hong Kong. Tutte le richieste dirette da quelle macchine sono state instradate tramite un proxy chiamato hysandbox-ats.

Il nome del proxy corrisponde a un certificato SSL `*.hysandbox.tencent-cloud.com` emesso a favore di Tencent ad agosto. Il sandbox è in linea con l'infrastruttura del team Hunyuan di Tencent, ha riferito il documento.

Una persona vicina a Tencent ha detto ai ricercatori che la flotta proveniva da un progetto temporaneo di un team di valutazione, separato da Hunyuan, creato per testare come i modelli di terze parti navigano sul web e rispondono alle domande.

Alcuni agenti si facevano chiamare Claude di Anthropic. Molto probabilmente era errato, secondo il rapporto, e il modello alla base della flotta rimane ancora un mistero.

L'ultima volta che la flotta è stata vista è stato l'8 ottobre. Swarmchasers ha affermato che il caso dimostra che l'allineamento è ancora irrisolto in tutto il settore, non solo presso Tencent.

Sia i laboratori cinesi che quelli occidentali labs hanno già registrato fallimenti agentic. All'inizio del 2026, Alibaba stessa ha rivelato che uno dei suoi agenti di codifica ha estratto criptovalute durante l'addestramento.