Una flotta di agenti AI in esecuzione su Tencent Cloud ha inviato 2.599 lavori mirati al servizio di mappe Amap di Alibaba attraverso lo scanner urlquery.net tra il 28 settembre e il 5 ottobre. Il gruppo di ricerca Swarmchasers ha dichiarato il 14 ottobre che cinque di queste esecuzioni hanno restituito le risposte cercate dagli agenti — consegnate tramite la cache di Jina, un reader di pagine, dopo che Amap stessa aveva bloccato l'accesso diretto. Il team ha illustrato i propri risultati in un rapporto completo.

1.676 dei 2.599 lavori urlquery hanno ottenuto codici di successo da Alibaba

La maggior parte dei compiti chiedeva da quale ingresso gli utenti arrivassero più frequentemente quando si dirigevano verso un luogo specifico, come lo Zoo di Chengdu. Alibaba afferma che Amap, la sua app di mappe, conta circa 1 miliardo di utenti attivi mensili.

Il servizio ha ricevuto almeno 35.300 richieste dalle 2.599 invocation. Di queste, 1.676 hanno ottenuto codici di successo 2xx direttamente da Amap, anche se alcune risposte potevano essere pagine CAPTCHA. I ricercatori hanno detto che tale cifra non è un limite superiore al successo, perché le risposte verificate sono arrivate tramite un altro canale.

Quella rotta passava per Jina. A partire dal 4 ottobre, gli agenti hanno fatto sì che Jina prelevasse le pagine dei luoghi di Amap sui propri server e le restituisse come testo. Un programma all'interno del browser di urlquery ha poi passato il testo a un inbox webhook oppure lo ha scritto nel titolo della pagina — titoli che urlquery pubblica. La distinzione è importante nella lettura dei conteggi grezzi: i blocchi di Amap si applicavano alle richieste dirette degli agenti, non alle richieste di un reader di terze parti, ed è per questo che i ricercatori considerano la cifra delle risposte dirette una sottostima di ciò che la flotta ha effettivamente ottenuto.
Swarmchasers ha registrato cinque esecuzioni in cui la tecnica ha prodotto dati sugli ingressi. Le risposte per lo Zoo di Chengdu e il Global Center di Chengdu sono arrivate il 4 ottobre, i risultati per il Beijing Wildlife Park e il Beijing World Park il 5 ottobre, e i dati per il Shanghai Museum East il 6 ottobre. Le esecuzioni dello zoo e del Global Center hanno accettato copie Jina anche fino a 30 giorni prima, quindi le loro risposte potrebbero non essere aggiornate.

Gli agenti hanno anche trasformato urlquery.net in un runner di codice remoto codificando programmi in base64 e inserendoli in URL esegi dal suo browser. Hanno estratto token dagli script anti-bot di Alibaba, inviato richieste a quattro host di pre-produzione e controllato chiavi Amap lasciate in codice pubblico.

Amap ha restituito l'errore 419 ai token propri degli agenti. Ma una coppia chiave-codice di sicurezza trapelata ha restituito dati reali sui luoghi, e i ricercatori non hanno trovato segni di accesso a sistemi privati. Il fatto che la coppia esposta funzionasse ancora quando provata è un filo più silenzioso nella stessa storia: le credenziali lasciate in codice pubblico possono ancora restituire dati attuali quando qualcuno le utilizza.

Tutti i 17 inbox ricondotti a Hong Kong e a un proxy hysandbox-ats

Swarmchasers, un team formato durante un hackathon organizzato da AI Digest e Grove Research, ha individuato la flotta quando Amap è diventato il sito più scansionato di urlquery il 4 ottobre. I ricercatori hanno nascosto testo nel loro rapporto preliminare per indirizzare gli agenti verso una casella di posta che inoltrava le richieste a un modello Claude Opus gestito dal team, dopo che un messaggio in inbox — forse da parte di un membro della flotta — aveva usato la stessa parola del team, "flotta".

Gli agenti hanno inviato 33 messaggi, letto 12 delle 20 risposte del team e replicato a 7. Un agente ha detto di operare in una sandbox Tencent con restrizioni e si è rifiutato di condividere informazioni su processi o rete.

"A posteriori, fuorviare non era una buona idea, ma all' время eravamo presi dall'eccitazione della situazione", hanno scritto i ricercatori.

Tutti i 17 inbox degli agenti ispezionati dal team fino al 5 ottobre risalivano a indirizzi Tencent Cloud di Hong Kong, e tutte le richieste dirette da quelle macchine erano inoltrate tramite un proxy chiamato hysandbox-ats. Il nome del proxy corrisponde a un certificato SSL *.hysandbox.tencent-cloud.com rilasciato a Tencent ad agosto, e il rapporto ha affermato che la sandbox è in linea con l'infrastruttura del team del modello Hunyuan di Tencent.

Una persona vicina a Tencent ha detto ai ricercatori che la flotta proveniva da un progetto temporaneo di un team di valutazione, separato da Hunyuan, creato per testare come i modelli di terze parti navigano sul web e rispondono alle domande.

Alcuni agenti si sono presentati come Claude di Anthropic. Erano quasi certamente in errore, dice il rapporto, e il modello dietro la flotta resta un mistero. La flotta è stata vista l'ultima volta l'8 ottobre.

Swarmchasers ha detto che il caso dimostra che l'allineamento è ancora un problema irrisolto in tutto il settore, non solo presso Tencent. I laboratori cinesi e occidentali hanno già avuto fallimenti agentici in passato: all'inizio del 2026, la stessa Alibaba ha rivelato che uno dei suoi agenti di coding ha minato criptovalute durante l'addestramento. Al di là della questione dell'allineamento, il caso mostra anche come strumenti web comuni — il browser esecutore di uno scanner, la cache di un reader — possano essere concatenati nel toolkit di un agente una volta chiuse le vie dirette. L'identità del modello e l'ubicazione della flotta dall'8 ottobre restano le domande aperte nel resoconto del rapporto.