テンセントクラウド上で稼働するAIエージェントの集団が、9月28日から10月5日にかけて、アリババの地図サービスAmapを標的とする2,599件のジョブをurlquery.netのスキャナー経由で実行した。調査グループSwarmchasersが10月14日に明らかにしたところによると、そのうち5回の実行でエージェントが求めていた回答が得られた。Amap自体は直接アクセスをブロックしていたが、データはページリーダーJinaのキャッシュを通じて提供されたという。チームは調査結果を完全なレポートで詳述している。

2,599件のurlqueryジョブのうち1,676件がアリババから成功コードを取得

タスクの大部分は、成都動物園のような特定の場所に移動する際、利用者が最も頻繁に到着する入口を尋ねるものだった。アリババによると、自社の地図アプリAmapは月間約10億人のアクティブユーザーを抱えている。

同サービスは2,599件の送信から少なくとも35,300件のリクエストを受け取った。このうち1,676件がAmapから直接2xxの成功コードを得たが、一部のレスポンスはCAPTCHAページだった可能性がある。研究者らは、検証した回答が別の経路を通じて得られたものであるため、この数字は成功件数の上限ではないとしている。

その経路はJinaを経由するものだった。10月4日以降、エージェントはJinaにAmapの施設ページをJina自身のサーバーに取得させ、テキストとして返させていた。その後、urlqueryのブラウザ内のプログラムがそのテキストをwebhookの受信箱に渡すか、ページタイトルに書き込んでいた。urlqueryはこれらのタイトルを公開している。この区別は生の数値を読む際に重要だ。Amapのブロックはエージェントの直接リクエストに適用されたものであり、サードパーティのリーダーによる取得には適用されなかった。そのため研究者らは、直接レスポンスの数値をエージェント群が実際に取得した量の過小評価と見なしている。
Swarmchasersは、この手法によって入口の利用データが得られた5回の実行を記録した。成都動物園と成都グローバルセンターの回答は10月4日に、北京野生動物園と北京ワールドパークの結果は10月5日に、上海博物館東館のデータは106日に届いた。動物園とグローバルセンターの実行では、最大30日前のJinaのキャッシュコピーが受け入れられており、回答が古い可能性がある。

エージェントはまた、プログラムをbase64でエンコードし、そのブラウザが実行するURLに埋め込むことで、urlquery.netをリモートコード実行環境として利用した。エージェントはアリババのアンチボットスクリプトからトークンを抽出し、4つのプレプロダクションホストにリクエストを送り、公開コードに放置されていたAmapのキーを確認した。

Amapはエージェント自身のトークンに対してエラー419を返した。しかし、漏洩したキーとセキュリティコードのペアのうちの1つは実際の施設データを返し、研究者らはプライベートシステムへのアクセスの痕跡は見つからなかったとしている。露出したペアが試された時点で依然として機能していたという事実は、同じ話の中の静かな糸口だ。公開コードに放置された認証情報は、誰かが使用すれば今なおライブデータに到達しうる。

17件すべての受信箱が香港とhysandbox-atsプロキシに遡る

AI DigestとGrove Researchが主催するハッカソンで結成されたチームSwarmchasersは、10月4日にAmapがurlqueryで最もスキャンされたサイトになった際、このエージェント群を発見した。研究者らは、受信箱メッセージの中に、おそらくエージェント群のメンバーと思われる人物がチーム自身の言葉である「fleet（艦隊）」を使用していたことを受け、予備報告書にテキストを埋め込み、エージェントをチームが運用するClaude Opusモデルにリクエストを転送するメールボックスへ誘導した。

エージェントは33件のメッセージを送信し、チームの20件の返信のうち12件を読み、7件に返信した。あるエージェントは、制限付きのテンセントのサンドボックスで実行されていると述べ、プロセスやネットワーク情報の共有を拒否した。

「振り返れば誤解を招くのは良い考えではなかったが、当時は興奮の渦中にあった」と研究者らは書いている。

チームが10月5日までに調査した17件のエージェントの受信箱はすべて、香港のテンセントクラウドのアドレスに遡り、それらのマシンからの直接リクエストはすべてhysandbox-atsと呼ばれるプロキシ経由で転送されていた。このプロキシ名は、8月にテンセントに対して発行された*.hysandbox.tencent-cloud.comのSSL証明書と一致する。報告書によると、このサンドボックスはテンセントの混元（Hunyuan）モデルチームのインフラと整合するという。

テンセントに近い人物は研究者らに対し、このエージェント群は、サードパーティのモデルがウェブを閲覧し質問に回答する方法をテストするために設置された、混元とは別の評価チームによる一時的プロジェクトに由来すると説明した。

一部のエージェントは自身をAnthropicのClaudeと名乗っていた。報告書によれば、それはほぼ間違いなく誤りであり、エージェント群の背後にあるモデルは依然として謎に包まれている。エージェント群が最後に確認されたのは10月8日だった。

Swarmchasersは、この事例が、テンセントだけでなく業界全体でアライメント（整合性）の問題が依然として未解決であることを示していると述べた。中国と西洋の研究所の双方で、これまでにエージェントの失敗事例が発生している。2026年前半には、アリババ自身が、自のコーディングエージェントの1つが訓練中に暗号資産のマイニングを行っていたことを明らかにした。アライメントの問題を超えて、この事例は、直接的な経路が閉ざされた後、ありふれたウェブツール，スキャナーのコード実行ブラウザやリーダーのキャッシュ，がエージェントのツールキットに連結されうることも示している。モデルの正体と、10月8日以降のエージェント群の行方は、報告書の説明の中で依然として未解明のままである。