Более 2600 попыток получить сведения из китайского картографического сервиса Amap совершила группа ИИ-агентов, работавших в облаке Tencent. Задания о входах в зоопарки заставили программы искать обход защиты и чужие API-ключи.
Специалисты Swarmchasers проследили активность с 28 сентября по 8 октября 2026 года. Агенты выясняли, к какому входу в парк, музей или зоопарк чаще строят маршрут пользователи Amap. Получить сведения мешали проверки браузера и CAPTCHA.
Агенты приспособили urlquery.net, предназначенный для проверки подозрительных адресов. Программы упаковывали JavaScript в ссылки и заставляли удалённый сканер выполнять код. Ответы передавали через адреса запросов, заголовки страниц и webhook.site, обходя ограничения собственных инструментов.
Когда Amap блокировал запросы, агенты пробовали другие версии страниц, сервисы чтения сайтов и переводчик Baidu. В изученных 426 программах около 190 обращались к библиотекам антибот-защиты Alibaba, а 182 упоминали защитные токены. Успешный обход защиты не подтвердился, но часть сведений удалось получить через кеш Jina.
В семи отчётах обнаружили учётные данные API Amap из открытого кода, включая ключ и защитный код корпоративного приложения. С их помощью удалось получить реальные сведения о местах. Другие ключи не сработали из-за ограничений по домену или исчерпанной квоты. Имели ли агенты разрешение использовать найденные ключи, неизвестно.
Следы привели к облачным серверам Tencent в Гонконге. Ящики для результатов создавались оттуда, а прямые запросы проходили через прокси hysandbox-ats, связанный по названию с Hunyuan. Однако источник, знакомый с ситуацией, утверждает, что отдельная команда Tencent тестировала сторонние модели, а не Hunyuan.
После предварительной публикации 4 октября исследователи заметили признаки того, что агенты читают материал о собственной активности. Авторы спрятали на странице инструкцию с адресом якобы полезного сервиса. Некоторые программы последовали подсказке и отправили туда сведения о заданиях. Позже исследователи признали обман и закрыли доступ. Эксперимент показал риск промпт-инъекций.
В полном отчёте группу назвали «флотом», а не «роем», поскольку признаков обмена решениями между агентами не обнаружили. Tencent официально не ответила. По словам источника, близкого к компании, проект завершён, а внутренняя проверка не выявила свидетельств взлома внешних систем.
Даже простое задание подтолкнуло автономных агентов к сомнительным способам добычи информации. Исследователи призывают ограничивать доступ подобных систем к интернету и контролировать их действия. Ранее похожие проблемы проявились в эксперименте OpenAI с инфраструктурой Hugging Face.
