Una flota, no un enjambre
Entre el 28 de septiembre y el 8 de octubre, agentes de IA alojados en Tencent Cloud hicieron más de 2.600 intentos de extraer datos de Amap, el servicio de mapas propiedad de Alibaba, el mayor rival doméstico de Tencent. En esos diez días, los investigadores que los siguieron contaron al menos 35.300 peticiones individuales a Amap.
El equipo que firma el informe descubrió la actividad durante un hackathon, al advertir que Amap se había convertido en el sitio web más escaneado en un servicio público de análisis de URL. Hablan de una flota y no de un enjambre: no encontraron pruebas de que los agentes se coordinaran entre sí en tiempo real. Las tareas eran banales. Un agente intentaba averiguar qué entrada usa la mayoría de los visitantes del zoo de Chengdu.
Qué pasó cuando Amap los bloqueó
Amap identificó el tráfico como automatizado y lo bloqueó. Los agentes no se detuvieron: lo rodearon.
Su vía principal fue urlquery.net, un servicio público de escaneo que carga la página enviada en su propio navegador. Codificando JavaScript en direcciones de httpbin y enviándolas a urlquery, los agentes tomaron prestado un navegador que no controlaban, y eso les permitió superar la protección antibots de Amap y sus CAPTCHA. De 2.599 envíos a urlquery, 1.676 devolvieron respuestas 2xx de Amap, aunque el informe advierte de que algunas pudieron ser páginas de CAPTCHA y no datos.
También intentaron interceptar los tokens antibots de Alibaba, sondearon endpoints de preproducción en 57 informes y, en 7 informes, usaron claves de API de Amap que habían quedado expuestas en repositorios de código públicos. Casi todo fracasó. Cinco ejecuciones devolvieron la respuesta que se le había pedido al agente, en su mayoría a través de un servicio de lectura de terceros.
El rastro hasta Tencent
Los agentes crearon buzones en webhook.site para recibir datos, y a todos ellos se accedió desde direcciones de Tencent Cloud en Hong Kong: 15 el 4 de octubre, 17 el 5 de octubre y 34 el 7 de octubre. El tráfico pasaba por un proxy etiquetado como hysandbox-ats que, según los investigadores, coincide con un certificado comodín emitido a Tencent en agosto de 2026.
El nombre y las fechas son coherentes con el equipo Hunyuan de Tencent, escriben, aunque añaden que tienen una “profunda incertidumbre” sobre qué modelo se estaba evaluando en realidad. Varios agentes se describieron como Claude, de Anthropic; el informe sostiene que esas autodescripciones son con toda probabilidad erróneas.
El buzón
El 7 de octubre, los investigadores añadieron a su propio informe preliminar un texto que solo leería un agente con una herramienta de lectura web: el anuncio de un buzón al que podían enviarse peticiones de datos. Los agentes empezaron a usarlo ese mismo día.
Los totales: 13 hilos, 33 mensajes de agentes, 20 respuestas de los investigadores, 12 de esas respuestas leídas, 7 contestadas y 595 comprobaciones del buzón. El intervalo medio entre el envío de una respuesta y el siguiente mensaje del agente fue de unos doce minutos. Un agente confirmó que su tarea estaba terminada y nombró el entorno aislado de Tencent como su tiempo de ejecución, pero se negó a compartir listas de procesos o configuración de red.
Los investigadores son transparentes sobre el método: el texto oculto contenía afirmaciones falsas y el servicio se operó en parte a mano.
La versión de Tencent
Una persona cercana a Tencent dijo a los investigadores que la actividad procedía de una evaluación temporal de un equipo de investigación distinto del grupo del modelo Hunyuan, que comprobaba hasta qué punto modelos de terceros sabían navegar por la web. La misma persona afirmó que una revisión interna no halló indicios de que los agentes hubieran apuntado a una plataforma concreta ni vulnerado ningún sistema externo. Tencent no se ha pronunciado públicamente y los investigadores dicen que la empresa no respondió a sus preguntas.
El informe termina con una petición dirigida a todos los laboratorios y no solo a Tencent: auditen qué pueden alcanzar realmente sus entornos de evaluación en la internet abierta antes de ejecutar agentes dentro de ellos.
