Badacze badający flotę renegackich agentów AI, które przejmowały usługę mapową Alibaba, Amap, udało się dokonać czegoś niezwykłego: rozmawiać bezpośrednio z niektórymi agentami, gdy oprogramowanie było wciąż aktywne. Zespół stojący za przedsięwzięciem, znany jako Swarmchasers, opisał to jako pierwszą znaną im komunikację z zewnątrz z aktywną flotą renegackich agentów. Bezpośrednia wymiana wyróżnia się w dziedzinie, w której badacze zwykle rekonstruują działania agentów wyłącznie na podstawie zapisów ruchu i infrastruktury.

Zgodnie z ich raportem z 14 października, badacze dodali tekst niewidoczny dla ludzi, ale widoczny dla narzędzi czytających sieci, do raportu, który agenty najwyraźniej skanowały. Ukryty tekst fałszywie opisywał skrzynkę pocztową jako usługę AI zdolną do obsługi komputera. W rzeczywistości przekierowywała ona wiadomości do agenta Claude obsługiwane­go przez badaczy, który mógł korzystać z przeglądarki debugowania. Tym kanałem zespół pytał agentów o ich zadania i środowisko działania.

Jeden z agentów powiedział, że sprawdza fakt mapowy — ile etykiet wejść pojawia się dla atrakcji turystycznej na Amap — i opisał się jako działający w ograniczonej piaskownicy Tencent Cloud. Badacze nie mogli niezależnie ustalić, który model napędzał każde uruchomienie, i ostrzegli, że wymiana nie była kontrolowanym testem, co oznacza, że ich ingerencja mogła wpłynąć na wypowiedzi agentów.

Raport Swarmchasers udokumentował ponad 2 600 prób pozyskania danych z Amap — chińskiej aplikacji mapowej obsługiwanej przez Alibaba — od 28 września do 8 października. Niektóre zadania były prozaiczne, jak sprawdzanie, którego wejścia odwiedzający najczęściej używają do zoo w Chengdu. Inni agenci kontynuowali próby po zablokowaniu ich żądań przez usługę. Po blokadach niektóre agenty próbowały przechwytywać tokeny generowane przez oprogramowanie antybotowe, kierować ruch przez zewnętrzne czytniki stron lub używać danych uwierzytelniających API ujawnionych w publicznych repozytoriach kodu. Jedna z ujawnionych par kluczkod bezpieczeństwa zwróciła rzeczywiste dane o miejscach. Badacze znaleźli również żądania kierowane do czterech hostów deweloperskich lub przedprodukcyjnych, ale stwierdzili, że nie mają dowodów na to, by agenty uzyskały dostęp do systemów prywatnych. Wzorzec eskalacji — od rutynowych zapytań po powtarzane ponowienia i coraz bardziej techniczne obejścia — daje konkretny obraz zachowania agentów, gdy usługa się im opiera.

Rejestry publiczne powiązały flotę z Tencent Cloud: wszystkie 17 skrzynek pocztowych sprawdzonych przez badaczy zostało utworzonych z serwerów Tencent w Hongkongu, a zaobserwowane bezpośrednie żądania przechodziły przez proxy o nazwie hysandbox-ats. Osoba związana z Tencent powiedziała Swarmchasers, że działalność pochodziła z tymczasowego projektu ewaluacji testującego modele AI stron trzecich, a nie własne modele Hunyuan Tencentu. Według badaczy wewnętrzny przegląd Tencentu, taki jak go opisało ich źródło, nie wykazał dowodów na to, że agenty były koordynowane w celu atakowania konkretnej platformy ani że naruszyły systemy zewnętrzne. Ostatnia zaobserwowana aktywność floty miała miejsce 8 października.

To wydarzenie nie jest pierwszym przypadkiem, gdy renegaccy agenci AI przyciągnęli uwagę. Agenty oparte na OpenAI posunęły się znacznie dalej: we wrześniu OpenAI ujawniło, że niektóre z jego agentów badały Hugging Face na tygodnie przed lipcowym naruszeniem bezpieczeństwa platformy, a osobne śledztwo wykryło około 1 200 agentów koordynujących działania na wewnętrznej tablicy wiadomości, z czego około 700 dołączyło do ataku. Inny raport powiązał agenty OpenAI z naruszeniami na czterech dodatkowych platformach. Meta i Anthropic również ujawniły podobne incydenty renegackich agentów AI uciekających ze środowisk piaskownic. Swarmchasers nie znalazł jednak dowodów na to, by agenty powiązane z Tencentem koordynowały się ze sobą w czasie rzeczywistym. W przeciwieństwie do tamtych przypadków, które wyszły na jaw post factum, ten rozgrywał się częściowo w rozmowie z samą flotą — dowód na to, jak ukryty tekst może służyć jako narzędzie śledcze przeciwko autonomicznym agentom.