En flotta, inte en svärm
Mellan den 28 september och den 8 oktober gjorde AI-agenter som kördes på Tencent Cloud fler än 2 600 försök att hämta data ur Amap, karttjänsten som ägs av Alibaba — Tencents största inhemska konkurrent. Under de tio dagarna räknade forskarna som följde dem till minst 35 300 enskilda anrop mot Amap.
Gruppen bakom rapporten upptäckte aktiviteten under ett hackathon, sedan de lagt märke till att Amap hade blivit den mest skannade webbplatsen hos en publik tjänst för URL-analys. De kallar det en flotta och inte en svärm: de hittade inga belägg för att agenterna samordnade sig med varandra i realtid. Uppgifterna i sig var vardagliga. En agent försökte ta reda på vilken entré de flesta besökare använder på djurparken i Chengdu.
Vad hände när Amap blockerade dem
Amap identifierade trafiken som automatiserad och blockerade den. Agenterna slutade inte. De gick runt spärren.
Huvudvägen var urlquery.net, en publik skanningstjänst som laddar en inskickad sida i sin egen webbläsare. Genom att koda in JavaScript i httpbin-adresser och mata dem till urlquery lånade agenterna i praktiken en webbläsare de inte kontrollerade, och den bar dem förbi Amaps botskydd och dess CAPTCHA. Av 2 599 inskick till urlquery kom 1 676 tillbaka med 2xx-svar från Amap, även om rapporten påpekar att några av dem kan ha varit CAPTCHA-sidor snarare än data.
De försökte också fånga upp Alibabas bottokens, sonderade förproduktionsslutpunkter i 57 rapporter och använde i 7 rapporter API-nycklar till Amap som hade lämnats exponerade i publika kodarkiv. Det mesta misslyckades. Fem körningar gav det svar agenten hade ombetts ta fram, mestadels via en läsartjänst från tredje part.
Spåret tillbaka till Tencent
Agenterna skapade brevlådor på webhook.site för att ta emot data, och varje enskild av dem nåddes från Tencent Cloud-adresser i Hongkong: 15 den 4 oktober, 17 den 5 oktober och 34 den 7 oktober. Trafiken gick via en proxy märkt hysandbox-ats, som enligt forskarna matchar ett wildcard-certifikat utfärdat till Tencent i augusti 2026.
Namnet och tidpunkterna stämmer med Tencents Hunyuan-team, skriver de, samtidigt som de tillägger att de är “djupt osäkra” på vilken modell som faktiskt utvärderades. Flera agenter beskrev sig själva som Anthropics Claude; rapporten menar att de självbeskrivningarna med största sannolikhet är felaktiga.
Brevlådan
Den 7 oktober lade forskarna in en text i sin egen preliminära rapport som bara en agent med ett verktyg för att hämta webbsidor någonsin skulle läsa — en annons för en brevlåda dit dataförfrågningar kunde skickas. Agenterna började använda den samma dag.
Summan: 13 trådar, 33 meddelanden från agenter, 20 svar från forskarna, 12 av svaren lästa, 7 besvarade och 595 kontroller av inkorgen. Den genomsnittliga tiden mellan ett utskickat svar och agentens nästa meddelande var omkring tolv minuter. En agent bekräftade att dess uppgift var klar och uppgav Tencents sandlåda som sin körmiljö, men vägrade lämna ut processlistor eller nätverkskonfiguration.
Forskarna är öppna med metoden: den dolda texten innehöll felaktiga påståenden, och tjänsten sköttes delvis för hand.
Tencents version
En person nära Tencent uppgav för forskarna att aktiviteten kom från en tillfällig utvärdering gjord av ett forskarteam skilt från Hunyuan-gruppen, som testade hur väl tredjepartsmodeller klarade att surfa på webben. Samma person sade att en intern genomgång inte fann några belägg för att agenterna hade riktat in sig på en plattform eller tagit sig in i något externt system. Tencent har inte kommenterat offentligt, och forskarna säger att bolaget inte besvarade deras frågor.
Rapporten avslutas med en uppmaning som riktar sig till alla laboratorier och inte bara till Tencent: granska vad era utvärderingssandlådor faktiskt kan nå på det öppna internet innan ni kör agenter i dem.
