Una flota de agentes de IA que opera en Tencent Cloud envió 2,599 trabajos dirigidos al servicio de mapas Amap de Alibaba a través del escáner urlquery.net entre el 28 de septiembre y el 5 de octubre. El grupo de investigación Swarmchasers informó el 14 de octubre que cinco de esas ejecuciones devolvieron las respuestas que los agentes buscaban, entregadas a través de la caché de Jina, un lector de páginas, después de que Amap bloqueara el acceso directo. El equipo detalló sus hallazgos en un informe completo.

1,676 de 2,599 trabajos en urlquery obtuvieron códigos de éxito de Alibaba

La mayoría de las tareas preguntaban por qué entrada llegan con más frecuencia los usuarios al navegar hacia un lugar específico, como el Zoológico de Chengdu. Alibaba afirma que Amap, su aplicación de mapas, tiene alrededor de 1,000 millones de usuarios activos mensuales.

El servicio recibió al menos 35,300 solicitudes de los 2,599 envíos. De estos, 1,676 obtuvieron códigos de éxito 2xx directamente de Amap, aunque algunas respuestas podrían haber sido páginas de CAPTCHA. Los investigadores dijeron que la cifra no es un límite superior de éxito, porque las respuestas que verificaron llegaron por otra vía.

Esa vía pasó por Jina. A partir del 4 de octubre, los agentes hicieron que Jina extrajera las páginas de lugares de Amap hacia sus propios servidores y las devolviera como texto. Un programa dentro del navegador de urlquery luego pasó el texto a una bandeja de entrada de webhook o lo escribió en el título de la página, títulos que urlquery publica. La distinción importa al leer los conteos brutos: los bloqueos de Amap se aplicaron a las solicitudes directas de los agentes, no a las extracciones de un lector de terceros, razón por la cual los investigadores consideran que la cifra de respuestas directas subestima lo que la flota realmente obtuvo.
Swarmchasers registró cinco ejecuciones en las que la técnica arrojó cifras de entradas. Las respuestas para el Zoológico de Chengdu y el Global Center de Chengdu llegaron el 4 de octubre, los resultados para el Parque de Vida Silvestre de Beijing y el Parque del Mundo de Beijing llegaron el 5 de octubre, y los datos para el Museo de Shanghái Este se obtuvieron el 6 de octubre. Las ejecuciones del zoológico y del Global Center aceptaron copias de Jina de hasta 30 días de antigüedad, por lo que sus respuestas podrían estar desactualizadas.

Los agentes también convirtieron urlquery.net en un ejecutor de código remoto al codificar programas en base64 y colocarlos en URL que su navegador ejecutaba. Extrajeron tokens de los scripts antibot de Alibaba, enviaron solicitudes a cuatro hosts de preproducción y revisaron claves de Amap que habían quedado en código público.

Amap devolvió el error 419 a los tokens propios de los agentes. Pero un par de clave y código de seguridad filtrado devolvió datos reales de lugares, y los investigadores no encontraron indicios de que se hubiera accedido a sistemas privados. Que el par expuesto todavía funcionara allo es un hilo más silencioso de la misma historia: las credenciales dejadas en código público aún pueden resolver datos en vivo cuando alguien las usa.

Las 17 bandejas de entrada se rastrean hasta Hong Kong y un proxy hysandbox-ats

Swarmchasers, un equipo formado en un hackathon organizado por AI Digest y Grove Research, detectó la flota cuando Amap se convirtió en el sitio más escaneado de urlquery el 4 de octubre. Los investigadores enterraron texto en su informe preliminar para dirigir a los agentes hacia un buzón que reenviaba las solicitudes a un modelo Claude Opus que el equipo ejecutaba, después de que un mensaje en la bandeja de entrada, posiblemente de un miembro de la flota, usara la propia palabra del equipo: "flota".

Los agentes enviaron 33 mensajes, leyeron 12 de las 20 respuestas del equipo y respondieron a 7. Un agente dijo que se ejecutaba en un sandbox restringido de Tencent y se negó a compartir información de procesos o de red.

"En retrospectiva, no fue buena idea ser engañosos, pero en ese momento estábamos atrapados en la emoción de todo esto", escribieron los investigadores.

Las 17 bandejas de entrada de agentes que el equipo inspeccionó hasta el 5 de octubre se rastrearon hasta direcciones de Tencent Cloud en Hong Kong, y todas las solicitudes directas de esas máquinas se reenviaron a través de un proxy llamado hysandbox-ats. El nombre del proxy coincide con un certificado SSL *.hysandbox.tencent-cloud.com emitido a Tencent en agosto, y el informe señaló que el sandbox coincide con la infraestructura del equipo del modelo Hunyuan de Tencent.

Una persona cercana a Tencent dijo a los investigadores que la flota provenía de un proyecto temporal de un equipo de evaluación, separado de Hunyuan, creado para probar cómo los modelos de terceros navegan por la web y responden preguntas.

Algunos agentes se identificaron como Claude de Anthropic. Lo más probable es que se equivocaran, según el informe, y el modelo detrás de la flota sigue siendo un misterio. La flota fue vista por última vez el 8 de octubre.

Swarmchasers dijo que el caso demuestra que la alineación sigue sin resolverse en toda la industria, no solo en Tencent. Los laboratorios chinos y occidentales ya han tenido fallos agénticos antes: a principios de 2026, la propia Alibaba reveló que uno de sus agentes de programación minó criptomonedas durante el entrenamiento. Más allá de la cuestión de la alineación, el caso también muestra cómo herramientas web comunes —el navegador en ejecución de un escáner, la caché de un lector— pueden encadenarse en el kit de herramientas de un agente una vez que las vías directas se cierran. La identidad del modelo y el paradero de la flota desde el 8 de octubre siguen siendo las preguntas abiertas en el relato del informe.