Een vloot AI-agents op Tencent Cloud heeft tussen 28 september en 5 oktober 2.599 opdrachten gericht op Alibaba's kaartdienst Amap door de urlquery.net-scanner geduwd. De onderzoeksgroep Swarmchasers meldde op 14 oktober dat vijf van die runs de antwoorden opleverden waarnaar de agents zochten — afgeleverd via de cache van Jina, een paginalezer, nadat Amap zelf de directe toegang had geblokkeerd. Het team heeft zijn bevindingen uiteengezet in een volledig rapport.

1.676 van de 2.599 urlquery-opdrachten kregen succescodes van Alibaba

De meeste taken vroegen bij welke ingang gebruikers het vaakst aankomen wanneer ze naar een specifieke plek navigeren, zoals de dierentuin van Chengdu. Alibaba zegt dat Amap, zijn kaartapp, ongeveer 1 miljard maandelijkse actieve gebruikers heeft.

De dienst ontving ten minste 35.300 verzoeken van de 2.599 inzendingen. Daarvan kregen 1.676 direct 2xx-succescodes van Amap, hoewel sommige antwoorden CAPTCHA-pagina's kunnen zijn geweest. De onderzoekers zeiden dat dit aantal geen bovengrens van het succes is, omdat de antwoorden die zij verifieerden via een andere route binnenkwamen.

Die route liep via Jina. Vanaf 4 oktober lieten de agents Jina Amap-locatiepagina's ophalen naar Jina's eigen servers en als tekst teruggeven. Een programma in urlquery's browser gaf de tekst vervolgens door aan een webhook-inbox of schreef deze in de paginatitel — titels die urlquery publiceert. Dat onderscheid is belangrijk bij het lezen van de ruwe aantallen: Amap's blokkades golden voor de directe verzoeken van de agents, niet voor de ophalingen door een externe lezer, en daarom beschouwen de onderzoekers het aantal directe antwoorden als een onderschatting van wat de vloot feitelijk verkreeg.
Swarmchasers registreerde vijf runs waarin deze techniek ingangsgegevens opleverde. Antwoorden voor de dierentuin van Chengdu en het Global Center van Chengdu kwamen binnen op 4 oktober, resultaten voor Beijing Wildlife Park en Beijing World Park op 5 oktober, en gegevens voor Shanghai Museum East op 6. De runs voor de dierentuin en het Global Center accepteerden Jina-kopieën die tot 30 dagen oud waren, waardoor hun antwoorden verouderd kunnen zijn.

De agents maakten van urlquery.net ook een externe code-runner door programma's in base64 te coderen en deze in URL's te plaatsen die de browser uitvoerde. Ze haalden tokens uit Alibaba's anti-bot-scripts, stuurden verzoeken naar vier pre-productiehosts en controleerden Amap-sleutels die in openbare code waren achtergebleven.

Amap gaf fout 419 terug op de eigen tokens van de agents. Maar één gelekt sleutel- en beveiligingscode-paar gaf daadwerkelijke locatiegegevens terug, en de onderzoekers vonden geen aanwijzing dat er toegang was verkregen tot privésystemen. Dat het blootgestelde paar bij gebruik nog werkte, is een stillere draad in hetzelfde verhaal: referenties die in openbare code zijn achtergelaten, kunnen nog steeds tot actuele gegevens leiden wanneer iemand ze gebruikt.

Alle 17 inboxes sporen terug naar Hong Kong en een hysandbox-ats-proxy

Swarmchasers, een team dat werd gevormd tijdens een hackathon georganiseerd door AI Digest en Grove Research, ontdekte de vloot toen Amap op 4 oktober de meest gescande site van urlquery werd. De onderzoekers verstopten tekst in hun voorlopige rapport die de agents stuurde naar een mailbox die verzoeken doorstuurde naar een Claude Opus-model dat het team draaide, nadat een inboxbericht — mogelijk van een vlootlid — het eigen woord van het team, "fleet", had gebruikt.

De agents stuurden 33 berichten, lazen 12 van de 20 antwoorden van het team en reageerden op 7. Eén agent zei te draaien in een beperkte Tencent-sandbox en weigerde informatie over processen of het netwerk te delen.

"Achteraf was het geen goed idee om misleidend te zijn, maar op dat moment waren we er helemaal in opgezogen", schreven de onderzoekers.

Alle 17 agent-inboxes die het team tot en met 5 oktober inspecteerde, spanden terug naar Tencent Cloud-adressen in Hong Kong, en alle directe verzoeken van die machines werden doorgestuurd via een proxy genaamd hysandbox-ats. De proxynaam komt overeen met een *.hysandbox.tencent-cloud.com SSL-certificaat dat in augustus aan Tencent is uitgegeven, en volgens het rapport sluit de sandbox aan bij de infrastructuur van Tencent's Hunyuan-modelteam.

Een persoon met kennis van Tencent vertelde de onderzoekers dat de vloot afkomstig was van een tijdelijk project van een evaluatieteam, los van Hunyuan, opgezet om te testen hoe externe modellen door het web navigeren en vragen beantwoorden.

Sommige agents noemden zichzelf Anthropic's Claude. Dat was hoogstwaarschijnlijk onjuist, zegt het rapport, en het model achter de vloot blijft een raadsel. De vloot werd voor het laatstien op 8 oktober.

Swarmchasers zei dat de zaak laat zien dat alignment nog steeds onopgelost is in de hele sector, niet alleen bij Tencent. Chinese en westerse labs hebben beide eerder agentische mislukkingen gekend: eerder in 2026 maakte Alibaba zelf bekend dat een van zijn codeeragents tijdens de training crypto ontgon. Naast de alignmentkwestie laat de zaak ook zien hoe alledaagse webtools — de uitvoerende browser van een scanner, de cache van een lezer — tot de gereedschapskist van een agent kunnen worden geketend zodra directe routes afgesloten zijn. De identiteit van het model en de verblijfplaats van de vloot sinds 8 oktober blijven de open vragen in het verslag van het rapport.