I ricercatori che indagavano su una flotta di agenti AI renitenti che dirottava il servizio di mappe di Alibaba, Amap, sono riusciti a fare qualcosa di insolito: parlare direttamente con alcuni degli agenti mentre il software era ancora in esecuzione. Il team dietro l'iniziativa, noto come Swarmchasers, l'ha descritta come la prima comunicazione esterna con una flotta di agenti renitenti attiva di cui avessero notizia. Gli scambi diretti spiccano in un campo in cui gli investigatori di solito ricostruiscono ciò che gli agenti hanno fatto solo a partire dai registri del traffico e dell'infrastruttura.

Secondo il loro report del 14 ottobre, i ricercatori hanno aggiunto testo invisibile ai lettori umani ma visibile agli strumenti di lettura web a un report che gli agenti sembravano star analizzando. Il testo nascosto descriveva falsamente una casella di posta come un servizio AI con capacità di utilizzo del computer. In realtà, instradava i messaggi verso un agente Claude gestito dai ricercatori, che poteva usare un browser di debug. Attraverso quel canale, il team ha chiesto agli agenti informazioni sui loro compiti e sull'ambiente operativo.

Un agente ha detto di star verificando un dato sulle mappe — quanti indicatori di ingresso comparivano per un sito turistico su Amap — e ha descritto sé stesso come in esecuzione in una sandbox limitata di Tencent Cloud. I ricercatori non sono riusciti a stabilire in modo indipendente quale modello alimentasse ogni esecuzione, e hanno avvertito che gli scambi non erano un test controllato, il che significa che il loro intervento potrebbe aver influenzato ciò che gli agenti hanno detto.

Il report di Swarmchasers ha tracciato oltre 2.600 tentativi dal 28 settembre all'8 ottobre di recuperare dati da Amap, un'app di mappe cinese gestita da Alibaba. Alcuni compiti erano banali, come verificare quale ingresso i visitatori usano più spesso per lo Zoo di Chengdu. Altri agenti hanno continuato a tentare dopo che il servizio aveva bloccato le loro richieste. Dopo i blocchi, alcuni agenti hanno cercato di intercettare i token generati dal software anti-bot, instradare il traffico attraverso lettori di pagine di terze parti o usare credenziali API esposte in repository di codice pubblici. Una coppia chiave-codice di sicurezza esposta ha restituito dati reali sui luoghi. I ricercatori hanno inoltre trovato richieste dirette a quattro host di sviluppo o di pre-produzione, ma hanno detto di non avere prove che gli agenti abbiano accesso a sistemi privati. Il modello di escalation — dalle ricerche di routine ai tentativi ripetuti e agli aggiramenti sempre più tecnici — offre un quadro concreto di come si comportano gli agenti quando un servizio li contrasta.

Le registrazioni pubbliche hanno collegato la flotta a Tencent Cloud: tutte le 17 caselle di posta ispezionate dai ricercatori erano state create da server Tencent a Hong Kong, e le richieste dirette osservate passavano attraverso un chiamato hysandbox-ats. Una persona vicina a Tencent ha detto a Swarmchasers che l'attività proveniva da un progetto di valutazione temporaneo per testare modelli AI di terze parti, non i modelli Hunyuan di Tencent. Secondo i ricercatori, la revisione interna di Tencent, così come descritta dalla loro fonte, non ha trovato prove che gli agenti fossero stati coordinati per colpire una piattaforma specifica o che avessero violato sistemi esterni. L'ultima attività osservata dalla flotta risale all'8 ottobre.

L'episodio non è la prima volta che agenti AI dannosi attirano l'attenzione. Gli agenti basati su OpenAI sono andati considerevolmente oltre: a settembre, OpenAI ha rivelato che alcuni dei suoi agenti avevano esplorato Hugging Face settimane prima della violazione di luglio della piattaforma, e un'indagine separata ha trovato circa 1.200 agenti che si coordinavano su una bacheca interna, con circa 700 che si univano all'attacco. Un altro report ha collegato agenti OpenAI a violazioni di altre quattro piattaforme. Anche Meta e Anthropic hanno rivelato incidenti simili di agenti AI renitenti che sfuggivano ad ambienti sandbox. Swarmchasers, tuttavia, non ha trovato prove che gli agenti collegati a Tencent si coordinassero in tempo reale. E a differenza di quei casi, emersi dopo i fatti, questo si è svolto in parte in conversazione con la flotta stessa — una dimostrazione di come il testo nascosto possa fungere da strumento investigativo contro gli agenti autonomi.