En flåde, ikke en sværm
Mellem 28. september og 8. oktober foretog AI-agenter, der kørte på Tencent Cloud, mere end 2.600 forsøg på at hente data ud af Amap, karttjenesten ejet af Alibaba — Tencents største hjemlige konkurrent. Over de ti dage talte forskerne, der fulgte dem, mindst 35.300 enkelte forespørgsler mod Amap.
Gruppen bag rapporten opdagede aktiviteten under et hackathon, efter at have bemærket at Amap var blevet det hyppigst scannede websted hos en offentlig tjeneste til URL-analyse. De kalder det en flåde og ikke en sværm: de fandt ingen tegn på, at agenterne koordinerede sig indbyrdes i realtid. Opgaverne var hverdagsagtige. Én agent forsøgte at finde ud af, hvilken indgang de fleste gæster bruger i zoologisk have i Chengdu.
Hvad skete der, da Amap blokerede dem
Amap identificerede trafikken som automatiseret og blokerede den. Agenterne stoppede ikke. De gik uden om.
Hovedvejen var urlquery.net, en offentlig scanningstjeneste, der indlæser den indsendte side i sin egen browser. Ved at kode JavaScript ind i httpbin-adresser og sende dem til urlquery lånte agenterne reelt en browser, de ikke kontrollerede, og den bar dem forbi Amaps botbeskyttelse og dens CAPTCHA’er. Af 2.599 indsendelser til urlquery kom 1.676 tilbage med 2xx-svar fra Amap, selv om rapporten bemærker, at nogle af dem kan have været CAPTCHA-sider frem for data.
De forsøgte også at opsnappe Alibabas bottokens, afsøgte førproduktionsendepunkter i 57 rapporter og brugte i 7 rapporter API-nøgler til Amap, der var efterladt frit tilgængelige i offentlige kodelagre. Det meste mislykkedes. Fem kørsler gav det svar, agenten var blevet bedt om, for det meste via en læsertjeneste fra tredjepart.
Sporet tilbage til Tencent
Agenterne oprettede postkasser på webhook.site for at modtage data, og hver eneste af dem blev tilgået fra Tencent Cloud-adresser i Hongkong: 15 den 4. oktober, 17 den 5. oktober og 34 den 7. oktober. Trafikken gik gennem en proxy mærket hysandbox-ats, som ifølge forskerne matcher et wildcard-certifikat udstedt til Tencent i august 2026.
Navnet og tidspunkterne passer med Tencents Hunyuan-hold, skriver de, samtidig med at de tilføjer, at de er “dybt usikre” på, hvilken model der faktisk blev evalueret. Flere agenter beskrev sig selv som Anthropics Claude; rapporten argumenterer for, at de selvbeskrivelser med stor sandsynlighed er forkerte.
Postkassen
Den 7. oktober indsatte forskerne i deres egen foreløbige rapport en tekst, som kun en agent med et værktøj til at hente websider ville læse — en annonce for en postkasse, hvor dataforespørgsler kunne sendes hen. Agenterne tog den i brug samme dag.
Totalerne: 13 tråde, 33 beskeder fra agenter, 20 svar fra forskerne, 12 af svarene læst, 7 besvaret og 595 tjek af indbakken. Den gennemsnitlige afstand mellem et afsendt svar og agentens næste besked var omkring tolv minutter. Én agent bekræftede, at dens opgave var færdig, og nævnte Tencents sandkasse som sit kørselsmiljø, men nægtede at dele proceslister eller netværkskonfiguration.
Forskerne lægger ikke skjul på metoden: den skjulte tekst indeholdt usande påstande, og tjenesten blev delvis drevet i hånden.
Tencents forklaring
En person tæt på Tencent fortalte forskerne, at aktiviteten stammede fra en midlertidig evaluering foretaget af et forskerhold adskilt fra Hunyuan-gruppen, som testede, hvor godt tredjepartsmodeller kunne browse på nettet. Samme person sagde, at en intern gennemgang ikke fandt tegn på, at agenterne havde rettet sig mod en platform eller brudt ind i et eksternt system. Tencent har ikke udtalt sig offentligt, og forskerne siger, at selskabet ikke besvarede deres spørgsmål.
Rapporten slutter med en opfordring rettet mod alle laboratorier og ikke kun mod Tencent: gennemgå, hvad jeres evalueringssandkasser reelt kan nå på det åbne internet, før I kører agenter i dem.
