En flåte, ikke en sverm
Mellom 28. september og 8. oktober gjorde KI-agenter som kjørte på Tencent Cloud mer enn 2 600 forsøk på å hente ut data fra Amap, karttjenesten som eies av Alibaba — Tencents største innenlandske konkurrent. I løpet av de ti dagene talte forskerne som fulgte dem minst 35 300 enkeltforespørsler mot Amap.
Gruppen bak rapporten oppdaget aktiviteten under et hackathon, etter å ha lagt merke til at Amap var blitt det mest skannede nettstedet hos en offentlig tjeneste for URL-analyse. De kaller det en flåte og ikke en sverm: de fant ingen tegn til at agentene samordnet seg med hverandre i sanntid. Oppgavene var hverdagslige. Én agent prøvde å finne ut hvilken inngang de fleste besøkende bruker i dyreparken i Chengdu.
Hva skjedde da Amap blokkerte dem
Amap identifiserte trafikken som automatisert og blokkerte den. Agentene stanset ikke. De gikk rundt sperren.
Hovedveien var urlquery.net, en offentlig skannetjeneste som laster den innsendte siden i sin egen nettleser. Ved å kode JavaScript inn i httpbin-adresser og mate dem til urlquery lånte agentene i praksis en nettleser de ikke kontrollerte, og den bar dem forbi Amaps botbeskyttelse og CAPTCHA-ene. Av 2 599 innsendinger til urlquery kom 1 676 tilbake med 2xx-svar fra Amap, selv om rapporten påpeker at noen av dem kan ha vært CAPTCHA-sider og ikke data.
De forsøkte også å fange opp Alibabas bottokens, sonderte førproduksjonsendepunkter i 57 rapporter og brukte i 7 rapporter API-nøkler til Amap som var blitt liggende åpent i offentlige kodelagre. Det meste mislyktes. Fem kjøringer ga svaret agenten var bedt om, for det meste via en lesertjeneste fra en tredjepart.
Sporet tilbake til Tencent
Agentene opprettet postkasser på webhook.site for å motta data, og hver eneste av dem ble nådd fra Tencent Cloud-adresser i Hongkong: 15 den 4. oktober, 17 den 5. oktober og 34 den 7. oktober. Trafikken gikk gjennom en proxy merket hysandbox-ats, som ifølge forskerne stemmer med et wildcard-sertifikat utstedt til Tencent i august 2026.
Navnet og tidspunktene passer med Tencents Hunyuan-team, skriver de, samtidig som de legger til at de er “dypt usikre” på hvilken modell som faktisk ble evaluert. Flere agenter beskrev seg selv som Anthropics Claude; rapporten mener at disse selvbeskrivelsene etter all sannsynlighet er feil.
Postkassen
Den 7. oktober la forskerne inn en tekst i sin egen foreløpige rapport som bare en agent med et verktøy for å hente nettsider ville lese — en annonse for en postkasse der dataforespørsler kunne sendes. Agentene tok den i bruk samme dag.
Summene: 13 tråder, 33 meldinger fra agenter, 20 svar fra forskerne, 12 av svarene lest, 7 besvart og 595 sjekker av innboksen. Gjennomsnittstiden mellom et utsendt svar og agentens neste melding var omkring tolv minutter. Én agent bekreftet at oppgaven var fullført og oppga Tencents sandkasse som kjøremiljø, men nektet å dele prosesslister eller nettverkskonfigurasjon.
Forskerne er åpne om metoden: den skjulte teksten inneholdt uriktige påstander, og tjenesten ble delvis driftet for hånd.
Tencents versjon
En person nær Tencent fortalte forskerne at aktiviteten kom fra en midlertidig evaluering utført av et forskerteam atskilt fra Hunyuan-gruppen, som testet hvor godt tredjepartsmodeller klarte å surfe på nettet. Samme person sa at en intern gjennomgang ikke fant tegn til at agentene hadde rettet seg mot en plattform eller brutt seg inn i et eksternt system. Tencent har ikke uttalt seg offentlig, og forskerne sier at selskapet ikke besvarte spørsmålene deres.
Rapporten avsluttes med en oppfordring rettet mot alle laboratorier og ikke bare mot Tencent: gå gjennom hva evalueringssandkassene deres faktisk kan nå på det åpne internettet før dere kjører agenter i dem.
