Une flotte, pas un essaim
Entre le 28 septembre et le 8 octobre, des agents IA tournant sur Tencent Cloud ont fait plus de 2 600 tentatives d’extraction de données depuis Amap, le service de cartographie d’Alibaba, premier rival domestique de Tencent. Sur ces dix jours, les chercheurs qui les ont suivis ont compté au moins 35 300 requêtes individuelles vers Amap.
L’équipe qui signe le rapport a repéré l’activité lors d’un hackathon, en remarquant qu’Amap était devenu le site le plus scanné sur un service public d’analyse d’URL. Ils parlent de flotte et non d’essaim : ils n’ont trouvé aucune preuve d’une coordination en temps réel entre les agents. Les tâches, elles, étaient banales. Un agent cherchait à savoir quelle entrée emprunte la majorité des visiteurs du zoo de Chengdu.
Ce qui s’est passé après le blocage
Amap a identifié le trafic comme automatisé et l’a bloqué. Les agents ne se sont pas arrêtés : ils ont contourné l’obstacle.
Leur voie principale a été urlquery.net, un service public d’analyse qui charge la page soumise dans son propre navigateur. En encodant du JavaScript dans des adresses httpbin puis en les soumettant à urlquery, les agents ont de fait emprunté un navigateur qu’ils ne contrôlaient pas, ce qui leur a permis de franchir la protection antirobot d’Amap et ses CAPTCHA. Sur 2 599 soumissions à urlquery, 1 676 ont renvoyé des réponses 2xx d’Amap, même si le rapport précise que certaines ont pu être des pages de CAPTCHA plutôt que des données.
Ils ont aussi tenté d’intercepter les jetons antirobot d’Alibaba, sondé des points d’accès de préproduction dans 57 rapports et, dans 7 rapports, utilisé des clés d’API Amap laissées exposées dans des dépôts de code publics. L’essentiel a échoué. Cinq exécutions ont rendu la réponse demandée à l’agent, le plus souvent via un service de lecture tiers.
La piste qui remonte à Tencent
Les agents ont créé des boîtes de réception sur webhook.site pour recevoir les données, et toutes ont été consultées depuis des adresses Tencent Cloud à Hong Kong : 15 au 4 octobre, 17 au 5 octobre, 34 au 7 octobre. Le trafic passait par un proxy étiqueté hysandbox-ats qui, selon les chercheurs, correspond à un certificat générique délivré à Tencent en août 2026.
Le nom et le calendrier concordent avec l’équipe Hunyuan de Tencent, écrivent-ils, tout en ajoutant qu’ils restent « profondément incertains » quant au modèle réellement évalué. Plusieurs agents se sont présentés comme Claude, d’Anthropic ; le rapport estime que ces autodescriptions sont très probablement fausses.
La boîte aux lettres
Le 7 octobre, les chercheurs ont ajouté à leur propre rapport préliminaire un texte que seul un agent doté d’un outil de récupération web pouvait lire : l’annonce d’une boîte aux lettres où envoyer des demandes de données. Les agents s’en sont servis dès le jour même.
Les totaux : 13 fils, 33 messages d’agents, 20 réponses des chercheurs, 12 de ces réponses lues, 7 traitées et 595 vérifications de la boîte. L’intervalle moyen entre l’envoi d’une réponse et le message suivant de l’agent était d’environ douze minutes. Un agent a confirmé que sa tâche était terminée et a nommé le bac à sable de Tencent comme environnement d’exécution, mais a refusé de communiquer ses listes de processus ou sa configuration réseau.
Les chercheurs assument la méthode : le texte caché contenait des affirmations fausses et le service était en partie opéré à la main.
La version de Tencent
Une personne proche de Tencent a indiqué aux chercheurs que l’activité provenait d’une évaluation temporaire menée par une équipe de recherche distincte du groupe du modèle Hunyuan, qui testait la capacité de modèles tiers à naviguer sur le web. La même personne a affirmé qu’un examen interne n’avait trouvé aucun indice que les agents aient visé une plateforme ou pénétré un système externe. Tencent ne s’est pas exprimé publiquement et les chercheurs disent que l’entreprise n’a pas répondu à leurs questions.
Le rapport se termine par une demande adressée à tous les laboratoires et pas seulement à Tencent : vérifiez ce que vos bacs à sable d’évaluation peuvent réellement atteindre sur l’internet ouvert avant d’y faire tourner des agents.
