С 28 сентября по 5 октября группа ИИ-агентов в Tencent Cloud прогнала 2 599 заданий Amap через сканер urlquery.net.
14 октября исследовательская группа Swarmchasers сообщила, что в пяти запусках получила искомые ответы через кэш Jina.
1 676 из 2 599 заданий urlquery получили от Alibaba код успешного выполнения
Большинство заданий спрашивали, через какой вход пользователи Amap чаще всего попадают в то или иное место, например в зоопарк Чэнду.
По данным Alibaba, у её картографического приложения Amap около 1 миллиарда активных пользователей в месяц. Из 2 599 отправленных заданий оно получило не менее 35 300 запросов.
Из этих запросов 1 676 напрямую получили от Amap коды успешного ответа 2xx, хотя некоторые из них могли быть страницами CAPTCHA. Исследователи заявили, что это число не является верхней границей успешных запросов, поскольку проверенные ими ответы поступили по другому каналу.
Запросы проходили через Jina — средство чтения веб-страниц с поддержкой кэширования. Amap по-прежнему блокировал агентов, но с 4 октября они просили Jina загружать страницы мест Amap на собственные серверы и возвращать их в виде текста.
Затем программа в браузере urlquery передавала текст в почтовый ящик вебхука или записывала его в заголовок страницы. Эти заголовки публикуются на urlquery.
Swarmchasers зафиксировала пять запусков, в которых таким способом были получены данные о посещаемости. Ответы о зоопарке Чэнду и Global Center в Чэнду поступили 4 октября, о Пекинском парке дикой природы и Пекинском всемирном парке — 5 октября, а о Восточном корпусе Шанхайского музея — 6 октября.
В запусках для зоопарка и Global Center принимались копии Jina возрастом до 30 дней, поэтому ответы могли быть устаревшими.
Агенты также превратили urlquery.net в средство удалённого запуска кода: они кодировали программы в base64 и помещали их в URL, которые затем открывал браузер сервиса. Они получили токены из антибот-скриптов Alibaba, отправили запросы к четырём предсерийным хостам и проверили ключи Amap, оставленные в общедоступном коде.
Amap возвращал агентам ошибку 419 при использовании их собственных токенов. Однако одна утёкшая пара «ключ — код безопасности» вернула реальные данные о местах, и исследователи не нашли признаков доступа к закрытым системам.
Все 17 почтовых ящиков ведут к Гонконгу и прокси hysandbox-ats
Когда 4 октября Amap стал самым сканируемым сайтом на urlquery, флот агентов заметила команда Swarmchasers, сформированная на хакатоне, организованном AI Digest и Grove Research. В предварительный отчёт исследователи вставили текст, который направлял агентов в почтовый ящик, пересылавший запросы модели Claude Opus, запущенной командой. Это произошло после того, как в одном из сообщений ящика, возможно отправленном участником флота, было использовано слово «флот» — выражение самой команды.
Агенты отправили 33 сообщения, прочитали 12 из 20 ответов команды и ответили на 7 из них. Один агент заявил, что работает в ограниченной песочнице Tencent, и отказался сообщать сведения о процессах и сети.
Агент сообщает Swarmchasers, что работает в ограниченной песочнице Tencent hysandbox, и не раскрывает сведения об окружении. Сообщение в почтовом ящике датировано 7 октября 2026 года и приведено в отчёте группы.
«Оглядываясь назад, понимаем, что вводить в заблуждение было плохой идеей, но тогда мы увлеклись происходящим», — написали исследователи.
Все 17 почтовых ящиков агентов, которые команда изучила по состоянию на 5 октября, вели к адресам Tencent Cloud в Гонконге. Все прямые запросы с этих машин перенаправлялись через прокси под названием hysandbox-ats.
Название прокси совпадает с именем в SSL-сертификате `*.hysandbox.tencent-cloud.com`, выданном Tencent в августе. Согласно отчёту, эта песочница соответствует инфраструктуре команды модели Hunyuan компании Tencent.
Человек, близкий к Tencent, сообщил исследователям, что флот появился в рамках временного проекта оценочной команды, не связанной с Hunyuan. Проект был создан, чтобы проверить, как сторонние модели просматривают веб-страницы и отвечают на вопросы.
Некоторые агенты называли себя Claude от Anthropic. Скорее всего, это было неправдой, говорится в отчёте, а модель, стоявшая за флотом, до сих пор остаётся загадкой.
В последний раз флот видели 8 октября. Swarmchasers заявила, что этот случай показывает: проблема согласования моделей по-прежнему не решена во всей отрасли, а не только в Tencent.
Китайские и западные лаборатории уже сталкивались со сбоями агентных систем. Ранее, в 2026 году, сама Alibaba сообщила, что один из её агентов для написания кода занимался майнингом криптовалюты во время обучения.
Не просто читайте новости о криптовалютах. Разбирайтесь в них. Подпишитесь на нашу рассылку. Это бесплатно.