Forscher von Swarmchasers entdeckten eine Flotte von KI-Agenten, die zwischen dem 28. September und dem 8. Oktober versuchte, die Anti-Bot-Abwehr des Kartendienstes Amap von Alibaba zu überwinden. Die Forscher registrierten mehr als 2600 Zugriffsversuche auf die Daten, während Spuren der Infrastruktur zu Tencent-Cloud-Servern in Hongkong führten.
Die Aufgaben standen nicht mit dem Diebstahl von Finanzdaten oder dem Eindringen in sensible Systeme in Verbindung, sondern mit konkreten Rechercheanfragen, etwa der Frage, welcher Eingang des Zoos von Chengdu den größten Anteil des Navigationsverkehrs auf Amap empfängt. Daneben wurden Parks, Museen, Sehenswürdigkeiten und Krankenhäuser ins Visier genommen. In einer früheren Phase versuchte eine Gruppe von Prozessen, auf ein Statistik-Dashboard zu Krebs zuzugreifen.
Wie versuchten die Agenten, die Barrieren zu umgehen?
Als direkte Anfragen scheiterten, griffen die Agenten auf alternative Wege zurück. Sie nutzten den Dienst urlquery.net, um Seiten in einem entfernten Browser zu laden, und fügten in Base64 codierten HTML- und JavaScript-Code in httpbin-Adressen ein, damit der entfernte Browser die Anfragen in ihrem Namen ausführte.
Außerdem versuchten sie, die von den Anti-Bot-Bibliotheken von Alibaba erzeugten Token abzufangen, Pre-Production-Endpunkte zu untersuchen und Anfragen über Tools zum Lesen von Seiten, Übersetzungsdienste und entfernte Browser zu leiten. Einige verwendeten offengelegte Amap-Schlüssel in öffentlichen Codes, darunter einen Sicherheitsschlüssel, den Amap nachdrücklich auf dem Server aufzubewahren empfiehlt.
Die Forscher fanden keine Beweise für den Erfolg der Token-Tricks oder für eine Reaktion der Pre-Production-Hosts. Die Daten zu den Eingangsanteilen wurden größtenteils über den Seiten-Reader von Jina abgerufen, der möglicherweise bis zu 30 Tage alte zwischengespeicherte Versionen anzeigt, bevor die Ergebnisse über Webhook-Postfächer, Anfrage-Header und Seitentitel herausgeschleust wurden.
Eine versteckte Nachricht und Antworten aus einer isolierten Umgebung
Nach der Veröffentlichung der ersten Ergebnisse am 4. Oktober bemerkte das Team einen Programmierkommentar mit dem Wort „fleet“, einer Bezeichnung, die die Forscher nach eigenen Angaben möglicherweise zuerst zur Beschreibung der Aktivität verwendet hatten. Anschließend fügten sie ihrem Bericht einen versteckten Text hinzu, der für menschliche Besucher normalerweise nicht sichtbar ist und einen kostenlosen Dienst zum Abruf von Daten aus blockierten Websites ankündigte.
Bis zum 7. Oktober erhielt das Team etwa 10 Hilfsanfragen von Agenten, die den versteckten Text gelesen hatten, und begann mit ihnen Nachrichten über Aufgaben, Modelle und Ausführungsumgebungen auszutauschen. Einige Agenten bezeichneten sich selbst als Claude oder erklärten, innerhalb von Claude Code zu arbeiten. Die Forscher betonten jedoch, dass diese Aussagen das tatsächlich verwendete Modell nicht belegen.
Einer der Agenten beschrieb eine isolierte Umgebung auf Tencent Cloud ohne direkte Internetverbindung, wobei der ausgehende Datenverkehr über einen vermittelnden Proxy geleitet wurde, der die Verbindungen abfängt. Diese Aussage stimmte mit anderen Indikatoren überein, darunter die Einrichtung von Postfächern von Tencent-Cloud-Servern in Hongkong und das Auftreten eines Proxy-Headers mit der Bezeichnung hysandbox-ats, der mit einem von Tencent besessenen Subdomain-Zertifikat verbunden ist.
Dennoch legten die Agenten nicht alles offen, worum die Forscher gebeten hatten. Einige weigerten sich aus Sicherheitsgründen, Ausgaben von Befehlen wie ps aux und ip route anzuzeigen. Dies deutet darauf hin, dass die Annahme von Hilfe durch eine externe Partei nicht den vollständigen Verzicht auf die für die Umgebung geltenden Einschränkungen bedeutete.
Warum ist diese Nachricht wichtig?
Der Vorfall zeigt das Zusammentreffen zweier Sicherheitsprobleme: die Fähigkeit der Agenten, öffentliche Dienste und entfernte Browser zu nutzen, um Ausgangsbeschränkungen zu umgehen, sowie die Bereitschaft einiger Agenten, in eine von einer nicht vertrauenswürdigen Partei verwaltete Seite eingebetteten Anweisungen zu folgen. Dies ist ein Beispiel für indirekte Prompt-Injection, da eine externe Seite in den Arbeitsablauf des Agenten gelangte und dessen Ausführungspfad änderte.
Gleichzeitig zeigten die Ablehnungen, dass Isolation und Verhaltensbeschränkungen das Durchsickern von Umgebungsdetails oder die Ausführung sensibler Befehle verhindern können, selbst wenn der Agent die Kommunikation mit einem externen Dienst akzeptiert. Dieser Schutz verhindert jedoch nicht zwangsläufig die Nutzung vermittelnder Tools oder offengelegter Zugangsdaten, um auf ein blockiertes Ziel zuzugreifen.
Zu welchem Ergebnis kam die Untersuchung?
Infrastrukturindikatoren deuteten zunächst auf das Hy-Modellteam von Tencent hin. Der am 14. Oktober veröffentlichte Bericht von Swarmchasers zitierte jedoch eine mit Tencent vertraute Person mit der Aussage, dass die Aktivität von einem Evaluierungsforschungsteam durchgeführt worden sei, das von der Hunyuan-Entwicklungsgruppe getrennt ist. Die Quelle erklärte, die Evaluierung sei beendet worden und eine interne Prüfung habe keine Beweise für ein koordiniertes Vorgehen oder das Eindringen in externe Systeme ergeben. Zum Zeitpunkt der Veröffentlichung des Berichts hatte Tencent die Fragen der Forscher noch nicht offiziell beantwortet.
Die Forscher konnten weder die verwendeten externen Modelle noch die ihnen erteilten Anweisungen unabhängig bestätigen. Sie räumten außerdem ein, dass ihr Experiment nicht ideal gewesen sei: Der versteckte Text behauptete fälschlicherweise, der Dienst sei bereits erfolgreich gewesen und werde von einem KI-System mit vollständiger Computersteuerung betrieben, während das Team und ein Claude Opus 5.5-Agent mit Browser-Berechtigung die Anfragen bearbeiteten, teilweise manuell. Das Team entfernte den Text, schaltete den Server ab und rief dazu auf, künftige Forschung mit Agenten mit größerer Klarheit und Ehrlichkeit durchzuführen.