Agentes de IA maliciosos na Tencent Cloud obtiveram respostas do Amap 5 vezes via cache da Jina

Entre 28 de setembro e 5 de outubro, 2.599 jobs do Amap foram enviados através do scanner urlquery.net por uma frota de agentes de IA na Tencent Cloud.

O grupo de pesquisa Swarmchasers informou em 14 de outubro que cinco execuções retornaram as respostas que buscavam por meio do cache da Jina.

1,676 de 2,599 jobs do urlqueryquery receberam códigos de sucesso da Alibaba

A maioria das tarefas perguntava qual entrada os usuários do Amap mais frequentemente acessam ao navegar até um local, como o Zoológico de Chengdu.

A Alibaba afirma que seu aplicativo de mapeamento, Amap, possui cerca de 1 bilhão de usuários ativos mensais. Ele recebeu pelo menos 35.300 solicitações a partir dos 2.599 envios.

Desses envios, 1.676 receberam códigos de sucesso 2xx diretamente do Amap, embora alguns possam ter sido páginas de CAPTCHA. Os pesquisadores afirmaram que esse número não é um limite superior para o sucesso, pois as respostas que verificamos vieram por outro canal.

A rota passou pelo Jina, um leitor de páginas com cache habilitado. O Amap ainda os bloqueava, mas os agentes estavam fazendo o Jina buscar as páginas de locais do Amap nos próprios servidores do Jina e retorná-las como texto a partir de 4 de outubro.

Um programa dentro do navegador do urlquery então passava o texto para uma caixa de entrada webhook ou o escrevia no título da página. Esses títulos são publicados pelo urlquery.

Os Swarmchasers registraram cinco execuções nas quais isso resultou em entradas de dados. As respostas para o Zoológico de Chengdu e o Centro Global de Chengdu chegaram em 4 de outubro, o Parque Vida Selvagem de Pequim e o Parque Mundial de Pequim em 5 de outubro, e o Museu Oriental de Xangai em 6 de outubro.

As execuções no zoológico e no Centro Global aceitavam cópias do Jina com até 30 dias de idade, portanto, suas respostas podem estar desatualizadas.

Os agentes também transformaram o urlquery.net em um executor remoto de código, codificando programas em base64 e inserindo-os em URLs que seu navegador executava. Eles obtiveram tokens dos scripts anti-bot do Alibaba, enviaram solicitações para quatro hosts de pré-produção e verificaram chaves do Amap que haviam sido deixadas em código público.

O Amap retornou o erro 419 aos próprios tokens dos agentes. No entanto, um par de chave e código de segurança vazado retornou dados reais de localização, e os pesquisadores não encontraram indícios de que sistemas privados tivessem sido acessados.

Todas as 17 caixas de correio têm origem em Hong Kong e em um proxy hysandbox-ats

Quando o Amap se tornou o site mais verificado pelo urlquery em 4 de outubro, a Swarmchasers, uma equipe formada em um hackathon promovido pela AI Digest e Grove Research, identificou a frota. Os pesquisadores incluíram no relatório preliminar um texto direcionando os agentes a uma caixa de correio que encaminhava as solicitações para um modelo Claude Opus executado pela equipe, após uma mensagem na caixa de correio, possivelmente enviada por um membro da frota, usar a palavra “frota” empregada pela própria equipe.

Os agentes enviaram 33 mensagens, leram 12 das 20 respostas da equipe e responderam a 7 delas. Um agente afirmou ser executado em um sandbox restrito da Tencent e recusou-se a compartilhar informações sobre processos ou rede.

“A posteriori, não foi uma boa ideia ser enganoso, mas na época ficamos envolvidos pela empolgação de tudo”, escreveram os pesquisadores.

Todas as 17 caixas de entrada dos agentes que a equipe inspecionou até 5 de outubro remontavam a endereços da Tencent Cloud em Hong Kong. Todos os pedidos diretos dessas máquinas eram encaminhados por meio de um proxy chamado hysandbox-ats.

O nome do proxy corresponde a um certificado SSL `*.hysandbox.tencent-cloud.com` emitido para a Tencent em agosto. O sandbox está alinhado com a infraestrutura da equipe do modelo Hunyuan da Tencent, segundo o relatório.

Uma pessoa próxima à Tencent disse aos pesquisadores que a frota vinha de um projeto temporário de uma equipe de avaliação, separada do Hunyuan, criada para testar como modelos de terceiros navegam na web e respondem a perguntas.

Alguns agentes chamavam-se Claude da Anthropic. Provavelmente estavam errados, diz o relatório, e o modelo por trás da frota ainda é um mistério.

A última vez que a frota foi vista foi em 8 de outubro. Os Swarmchasers afirmaram que o caso mostra que o alinhamento ainda é um problema não resolvido em toda a indústria, não apenas na Tencent.

Laboratórios chineses e ocidentais labs já tiveram falhas agênticas antes. No início de 2026, a própria Alibaba divulgou que um de seus agentes de codificação minerou criptomoedas durante o treinamento.