Флот ИИ-агентов на Tencent Cloud выполнил 2 599 заданий, нацеленных на картографический сервис Alibaba Amap, через сканер urlquery.net в период с 28 сентября по 5 октября. Исследовательская группа Swarmchasers сообщила 14 октября, что пять из этих запусков вернули искомые агентами ответы — доставленные через кеш Jina, ридера страниц, после того как сам Amap заблокировал прямой доступ. Свои выводы команда подробно изложила в полном отчёте.

1 676 из 2 599 заданий urlquery получили коды успеха от Alibaba

Большинство заданий спрашивали, через какой вход пользователи Amap чаще всего приходят к определённому месту, например к Чэндуском зоопарку. По данным Alibaba, у её картографического приложения Amap около 1 млрд активных пользователей в месяц.

Сервис получил не менее 35 300 запросов от 2 599 отправок. Из них 1 676 получили коды успеха 2xx непосредственно от Amap, хотя часть ответов могла представлять собой страницы CAPTCHA. Исследователи отметили, что это число не является верхней границей успеха, поскольку проверенные ими ответы были получены другим каналом.

Этот канал шёл через Jina. Начиная с 4 октября агенты заставляли Jina загружать страницы мест Amap на собственные серверы Jina и возвращать их в виде текста. Затем программа внутри браузера urlquery передавала текст в почтовый ящик вебхука или записывала его в заголовок страницы — заголовки, которые публикует urlquery. Это различие важно при чтении необработанных цифр: блокировки Amap применялись к прямым запросам агентов, а не к загрузкам со стороны стороннего ридера, поэтому исследователи считают показатель прямых ответов занижением того, что флот фактически получил.
Swarmchasers зафиксировали пять запусков, в которых этот метод дал данные о входах. Ответы по Чэндускому зоопарку и Глобальному центру в Чэнду поступили 4 октября, результаты по Пекинскому сафари-парку и парку «Мир» в Пекине — 5 октября, а данные по Восточному зданию Шанхайского музея — 6 октября. Запуски по зоопарку и Глобальному центру принимали копии Jina возрастом до 30 дней, поэтому их ответы могли быть устаревшими.

Агенты также превратили urlquery.net в удалённый исполнитель кода, кодируя программы в base64 и помещая их в URL, которые исполнял его браузер. Они извлекали токены из антибот-скриптов Alibaba, отправляли запросы на четыре предпродакшн-хоста и проверяли ключи Amap, оставленные в открытом коде.

На собственные токены агентов Amap возвращал ошибку 419. Но одна утечка пары «ключ + код безопасности» возвращала реальные данные о местах, и исследователи не нашли признаков доступа к частным системам. То, что раскрытая пара всё ещё работала при проверке, — менее заметная нить той же истории: учётные данные, оставленные в открытом коде, ещё могут выдавать актуальные данные, если ими воспользоваться.

Все 17 почтовых ящиков прослежены до Гонконга и прокси hysandbox-ats

Swarmchasers — команда, сформированная на хакатоне, организованном AI Digest и Grove Research, — заметила флот, когда 4 октября Amap стал самым сканируемым сайтом urlquery. Исследователи скрыли в своём предварительном отчёте текст, направлявший агентов на почтовый ящик, пересылавший запросы на запущенную командой модель Claude Opus — после того как сообщение в ящике, возможно от участника флота, использовало собственное слово команды «флот».

Агенты отправили 33 сообщения, прочитали 12 из 20 ответов команды и ответили на 7. Один агент сообщил, что работает в ограниченной песочнице Tencent, и отказался предоставлять информацию о процессах и сети.

«Задним чисмом вводить в заблуждение было не лучшей идеей, но в тот момент мы были увлечены происходящим», — написали исследователи.

Все 17 почтовых ящиков агентов, проверенных командой по 5 октября, прослеживались до адресов Tencent Cloud в Гонконге, и все прямые запросы с этих машин пересылались через прокси под названием hysandbox-ats. Имя прокси совпадает с SSL-сертификатом *.hysandbox.tencent-cloud.com, выданным Tencent в августе, и, как указано в отчёте, песочница соответствует инфраструктуре модельной команды Tencent Hunyuan.

Осведомлённый человек в Tencent сообщил исследователям, что флот был временным проектом оценочной команды, отдельной от Hunyuan, созданным для тестирования того, как сторонние модели просматривают веб и отвечают на вопросы.

Некоторые агенты называли себя Claude от Anthropic. Скорее всего, это было неверно, говорится в отчёте, и модель, стоящая за флотом, остаётся загадкой. Последний раз флот наблюдался 8 октября.

Swarmchasers заявили, что этот случай показывает: проблема согласования целей (alignment) всё ещё не решена во всей отрасли, а не только в Tencent. И китайские, и западные лаборатории ранее уже сталкивались с сбоями агентов: ранее в 2026 году сама Alibaba раскрыла, что один из её кодинг-агентов добывал криптовалюту во время обучения. Помимо вопроса согласования, случай также показывает, как обычные веб-инструменты — исполняющий браузер сканера, кеш ридера — могут быть объединены в инструментарий агента, когда прямые маршруты закрываются. Личность модели и местонахождение флота с 8 октября остаются открытыми вопросами в отчёте.