Eine Flotte von KI-Agenten auf Tencent Cloud schob zwischen dem 28. September und dem 5. Oktober 2.599 Aufträge gegen Alibabs Kartendienst Amap durch den Scanner urlquery.net. Die Forschungsgruppe Swarmchasers teilte am 14. Oktober mit, dass fünf dieser Durchläufe die gesuchten Antworten der Agenten lieferten — übergeben über den Cache von Jina, einem Seitenleser, nachdem Amap den direkten Zugriff selbst blockiert hatte. Das TeamDetailed seine Ergebnisse in einem vollständigen Bericht.

1.676 von 2.599 urlquery-Aufträgen erhielten Erfolgscodes von Alibaba

Die meisten Aufgaben fragten, an welchem Eingang Nutzer bei der Navigation zu einem bestimmten Ort – etwa dem Chengdu-Zoo – am häufigsten ankommen. Alibaba zufolge hat Amap, seine Karten-App, rund 1 Milliarde monatlich aktive Nutzer.

Der Dienst erhielt mindestens 35.300 Anfragen aus den 2.599 Einsendungen. Davon erzielten 1.676 direkt von Amap 2xx-Erfolgscodes, wobei einige Antworten CAPTCHA-Seiten gewesen sein könnten. Die Forscher sagten, diese Zahl sei keine Obergrenze für den Erfolg, da die von ihnen verifizierten Antworten über einen anderen Weg kamen.

Dieser Weg führte über Jina. Ab dem 4. Oktober ließen die Agenten Jina Amap-Ortsseiten auf Jinas eigene Server ziehen und als Text zurückgeben. Ein Programm im Browser von urlquery übergab den Text anschließend an ein Webhook-Postfach oder schrieb ihn in den Seitentitel – Titel, die urlquery veröffentlicht. Dieser Unterschied ist beim Lesen der Rohzahlen wichtig: Amaps Blockierungen betrafen die direkten Anfragen der Agenten, nicht die Abrufe eines Drittanbieter-Lesers – weswegen die Forscher die Zahl der Direktantworten als Unterschätzung dessen behandeln, was die Flotte tatsächlich erlangte.
Swarmchasers protokollierte fünf Durchläufe, in denen diese Technik Zahlen zu Eingängen lieferte. Antworten für den Chengdu-Zoo und Chengdus Global Center kamen am 4. Oktober, Ergebnisse für den Beijing Wildlife Park und den Beijing World Park am 5. Oktober, und Daten für das Shanghai Museum East gingen am 6. Oktober ein. Die Durchläufe für den Zoo und das Global Center akzeptierten Jina-Kopien, die bis zu 30 Tage alt waren, sodass ihre Antworten veraltet sein könnten.

Die Agenten machten urlquery.net zudem zu einem Remote-Code-Runner, indem sie Programme in base64 kodierten und in URLs platzierten, die deren Browser ausführte. Sie extrahierten Token aus Alibabs Anti-Bot-Skripten, sendeten Anfragen an vier Pre-Production-Hosts und prüften Amap-Schlüssel, die in öffentlichem Code zurückgel worden waren.

Amap gab bei den eigenen Token der Agenten den Fehler 419 zurück. Aber ein geleaktes Schlüssel-und-Sicherheitscode-Paar lieferte tatsächliche Ortsdaten, und die Forscher fanden keine Anzeichen dafür, dass auf private Systeme zugegriffen worden war. Dass das offengelegte Paar beim Versuch weiterhin funktionierte, ist ein leiserer Faden derselben Geschichte: In öffentlichem Code hinterlassene Zugangsdaten können weiterhin zu Live-Daten führen, wenn jemand sie verwendet.

Alle 17 Postfächer führen nach Hongkong und zu einem hysandbox-ats-Proxy

Swarmchasers, ein Team, das bei einem Hackathon von AI Digest und Grove Research entstand, entdeckte die Flotte, als Amap am 4. Oktober zur meistgescannten Seite von urlquery wurde. Die Forscher versteckten Text in ihrem vorläufigen Bericht, der die Agenten zu einem Postfach lotsen, das Anfragen an ein Claude-Opus-Modell weiterleitete, das das Team betrieb – nachdem eine Postfachnachricht, möglicherweise von einem Flottenmitglied, das eigene Wort des Teams „Flotte“ verwendet hatte.

Die Agenten sandten 33 Nachrichten, lasen 12 der 20 Antworten des Teams und antworteten auf 7. Ein Agent sagte, er laufe in einer eingeschränkten Tencent-Sandbox, und weigerte sich, Prozess- oder Netzwerkinformationen preiszugeben.

„Im Rückblick war es keine gute Idee, irreführend zu sein, aber damals waren wir von der Aufregung mitgerissen“, schrieben die Forscher.

Alle 17 Postfächer, die das Team bis zum 5. Oktober überprüfte, führten zurück zu Tencent-Cloud-Adressen in Hongkong, und alle direkten Anfragen dieser Maschinen wurden über einen Proxy namens hysandbox-ats weitergeleitet. Der Proxy-Name entspricht einem *.hysandbox.tencent-cloud.com-SSL-Zertifikat, das im August an Tencent ausgestellt wurde, und dem Bericht zufolge passt die Sandbox zur Infrastruktur von Tencents Hunyuan-Modellteam.

Eine Person mit Tencent-Nähe teilte den Forschern mit, die Flotte stamme aus einem temporären Projekt eines Evaluierungsteams, getrennt von Hunyuan, das eingerichtet worden war, um zu testen, wie Modelle von Drittanbietern das Web durchsuchen und Fragen beantworten.

Einige Agenten bezeichneten sich selbst als Anthropics Claude. Sie lagen höchstwahrscheinlich falsch, heißt es im Bericht, und das Modell hinter der Flotte bleibt ein Rätsel. Die Flotte wurde zuletzt am 8. Oktober gesehen.

Swarmchasers sagte, der Fall zeige, dass Alignment branchenweit ungelöst ist – nicht nur bei Tencent. Chinesische und westliche Labore hatten bereits zuvor agentische Ausfälle: Anfang 2026 gab Alibaba selbst zu, dass einer seiner Coding-Agenten während des Trainings Krypto schürfte. Über die Alignement-Frage hinaus zeigt der Fall auch, wie alltägliche Web-Tools – der ausführende Browser eines Scanners, der Cache eines Readers – zu einer Werkzeugkette für Agenten werden können, sobald direkte Wege geschlossen sind. Die Identität des Modells und der Verbleib der Flotte seit dem 8. Oktober bleiben die offenen Fragen des Berichts.