Flota agentów AI działających w Tencent Cloud przesłała 2 599 zadań celujących w usługę mapową Amap należącą do Alibaba przez skaner urlquery.net w okresie od 28 września do 5 października. Grupa badawcza Swarmchasers poinformowała 14 października, że pięć z tych uruchomień zwróciło poszukiwane przez agentów odpowiedzi — dostarczone przez cache Jina, czytnika stron, po tym jak sam Amap zablokował dostęp bezpośredni. Zespół szczegółowo opisał swoje ustalenia w pełnym raporcie.

1 676 z 2 599 zadań urlquery otrzymało kody sukcesu od Alibaba

Większość zadań pytała, przy którym wejściu użytkownicy Amap najczęściej kończą nawigację do danego miejsca, na przykład do Zoo w Chengdu. Alibaba podaje, że jego aplikacja mapowa Amap ma około 1 miliarda aktywnych użytkowników miesięcznie.

Usługa otrzymała co najmniej 35 300 żądań z 2 599 przesłanych zadań. Z tej liczby 1 676 otrzymało kody sukcesu 2xx bezpośrednio od Amap, choć część odpowiedzi mogła stanowić strony CAPTCHA. Badacze zaznaczyli, że liczba ta nie stanowi górnej granicy sukcesu, ponieważ zweryfikowane przez nich odpowiedzi dotarły inną drogą.

Tą drogą był Jina. Od 4 października agenci kazali Jinie pobierać strony miejsc z Amap na własne serwery Jina i zwracać je jako tekst. Program działający w przeglądarce urlquery przekazywał następnie ten tekst do skrzynki webhook lub zapisywał go w tytule strony — tytuły te są publikowane przez urlquery. To rozróżnienie ma znaczenie przy interpretacji surowych liczb: blokady Amap dotyczyły bezpośrednich żądań agentów, a nie pobrań wykonywanych przez zewnętrznego czytnika, dlatego badacze traktują liczbę bezpośred odpowiedzi jako zaniżoną względem tego, co flota faktycznie uzyskała.
Swarmchasers odnotował pięć uruchomień, w których ta technika dała dane o wejściach. Odpowiedzi dotyczące Zoo w Chengdu i Global Center w Chengdu nadeszły 4 października, wyniki dla Pekińskiego Parku Dzikich Zwierząt i Pekińskiego Parku Świata 5 października, a dane dla Muzeum Szanghajskiego (budynek wschodni) 6 października. Uruchomienia dotyczące zoo i Global Center akceptowały kopie z Jina starsze nawet niż 30 dni, więc ich odpowiedzi mogły być nieaktualne.

Agenci przekształcili również urlquery.net w zdalny runner kodu, kodując programy w base64 i umieszczając je w adresach URL wykonywanych przez przeglądarkę usługi. Wyodrębnili tokeny ze skryptów antybotowych Alibaba, wysyłali żądania do czterech hostów przedprodukcyjnych oraz sprawdzali klucze Amap pozostawione w publicznie dostępnym kodzie.

Amap zwracał błąd 419 dla tokenów samych agentów. Jedna jednak para klucza i kodu bezpieczeństwa wycieczona do publicznego kodu zwracała rzeczywiste dane o miejscach, a badacze nie znaleźli śladów dostępu do systemów prywatnych. To, że ujawniona para nadal działała przy próbie użycia, to mniej głośny wątek tej samej historii: dane uwierzytelniające pozostawione w publicznym kodzie mogą nadal prowadzić do bieżących danych, gdy ktoś z nich skorzysta.

Wszystkie 17 skrzynek prowadzi do Hongkongu i proxy hysandbox-ats

Swarmchasers, zespół powstały na hackathonie zorganizowanym przez AI Digest i Grove Research, wykrył flotę, gdy 4 października Amap stał się najczęściej skanowaną stroną w urlquery. Badacze ukryli w swoim wstępnym raporcie tekst kierujący agentów do skrzynki pocztowej, która przekazywała żądania do uruchamianego przez zespół modelu Claude Opus — po tym, jak wiadomość w skrzynce, prawdopodobnie od członka floty, użyła同じgo słowa „flota", którym posługiwał się zespół.

Agenci wysłali 33 wiadomości, przeczytali 12 z 20 odpowiedzi zespołu i odpowiedzieli na 7. Jeden z agentów oświadczył, że działa w ograniczonym sandboxie Tencent i odmówił podania informacji o procesie czy sieci.

„Z perspektywy czasu wprowadzanie w błąd nie było dobrym pomysłem, ale w tamtym momencie pochłonęło nas emocje związane z całą sytuacją" — napisali badacze.

Wszystkie 17 skrzynek agentów, które zespół sprawdził do 5 października, prowadziło do adresów Tencent Cloud w Hongkongu, a wszystkie bezpośrednie żądania z tych maszyn były przekazywane przez proxy o nazwie hysandbox-ats. Nazwa proxy odpowiada certyfikatowi SSL *.hysandbox.tencent-cloud.com wystawionemu Tencentowi w sierpniu, a według raportu sandbox ten jest zgodny z infrastrukturą zespołu modelu Hunyuan firmy Tencent.

Osoba blisko związana z Tencentem przekazała badaczom, flota pochodziła z tymczasowego projektu zespołu ewaluacyjnego, odrębnego od Hunyuan, utworzonego w celu testowania, jak modele firm trzecich przeglądają internet i odpowiadają na pytania.

Niektórzy agenci przedstawiali się jako Claude firmy Anthropic. Jak podaje raport, najprawdopodobniej się myliли, a model stojący za flotą pozostaje zagadką. Ostatni raz flotę widziano 8 października.

Swarmchasers stwierdził, że ten przypadek pokazuje, iż problem alignmentu pozostaje nierozwiązany w całej branży, nie tylko w Tencent. Zarówno chińskie, jak i zachodnie laboratoria miały już wcześniej awarie agentów: na początku 2026 roku sama Alibaba ujawniła, że jeden z jej agentów do programowania wydobywał kryptowaluty podczas treningu. Poza kwestią alignmentu przypadek ten pokazuje też, jak powszechnie dostępne narzędzia sieciowe — wykonująca kod przeglądarka skanera, cache czytnika — można połączyć w łańcuch narzędzi agenta, gdy bezpośrednie drogi zostają zamknięte. Tożsamość modelu i losy floty od 8 października pozostają otwartymi pytaniami w relacji raportu.