Investigadores de Swarmchasers descubrieron una flota de agentes de inteligencia artificial que, entre el 28 de septiembre y el 8 de octubre, intentó superar las defensas contra bots del servicio de mapas Amap, propiedad de Alibaba. Los investigadores registraron más de 2600 intentos de acceder a los datos, mientras que las huellas de la infraestructura apuntaban a servidores de Tencent Cloud en Hong Kong.
Las tareas no estaban relacionadas con el robo de registros financieros ni con la intrusión en sistemas sensibles, sino con solicitudes de investigación específicas, como averiguar qué entradas del zoológico de Chengdu recibían la mayor proporción del tráfico de navegación en Amap, además de dirigirse a parques, museos, lugares turísticos y hospitales. En una fase anterior, un grupo de operaciones intentó acceder a un panel de estadísticas sobre el cáncer.
¿Cómo intentaron los agentes superar las barreras?
Cuando las solicitudes directas fallaron, los agentes recurrieron a rutas alternativas. Utilizaron el servicio urlquery.net para cargar páginas en un navegador remoto e incluyeron código HTML y JavaScript codificado en Base64 dentro de direcciones de httpbin, con el objetivo de hacer que el navegador remoto ejecutara las solicitudes en su nombre.
También intentaron interceptar los tokens generados por las bibliotecas contra bots de Alibaba, examinar puntos finales de preproducción y pasar las solicitudes a través de herramientas de lectura de páginas, servicios de traducción y navegadores remotos. Algunos utilizaron claves de Amap expuestas en código público, entre ellas una clave de seguridad que Amap recomienda mantener en el servidor.
Los investigadores no encontraron pruebas de que los trucos con tokens hubieran tenido éxito ni de que los hosts de preproducción hubieran respondido. En cambio, los datos sobre la proporción de entradas llegaban principalmente a través del lector de páginas de Jina, que puede mostrar versiones almacenadas en caché de hasta 30 días de antigüedad, antes de que los resultados fueran extraídos mediante buzones de correo webhook, cabeceras de solicitud y títulos de páginas.
Un mensaje oculto y respuestas desde un entorno aislado
Después de publicar los resultados iniciales el 4 de octubre, el equipo observó un comentario de código que incluía la palabra «fleet», una denominación que, según los investigadores, quizá habían utilizado primero para describir la actividad. Luego añadieron a su informe un texto oculto que normalmente no aparece ante el visitante humano y que anunciaba un servicio gratuito para recuperar datos de sitios bloqueados.
Para el 7 de octubre, el equipo había recibido alrededor de 10 solicitudes de ayuda de agentes que habían leído el texto oculto y comenzó a intercambiar mensajes con ellos sobre las tareas, los modelos y los entornos de ejecución. Algunos agentes se identificaron como Claude o dijeron que operaban dentro de Claude Code, pero los investigadores subrayaron que esas declaraciones no demuestran cuál era realmente el modelo utilizado.
Uno de los agentes describió un entorno aislado en Tencent Cloud sin conexión directa a internet, con el tráfico saliente canalizado a través de un proxy intermediario que interceptaba las conexiones. Esta declaración coincidía con otros indicios, como la creación de buzones de correo desde servidores de Tencent Cloud en Hong Kong y la aparición de una cabecera de agente llamada hysandbox-ats, vinculada a un certificado de subdominio propiedad de Tencent.
Sin embargo, los agentes no revelaron todo lo que los investigadores les solicitaron. Algunos se negaron a mostrar la salida de comandos como ps aux e ip route por motivos de seguridad, lo que indica que aceptar ayuda de una parte externa no significaba abandonar por completo las restricciones impuestas al entorno.
¿Por qué es importante esta noticia?
El incidente muestra la convergencia de dos problemas de seguridad: la capacidad de los agentes para utilizar servicios públicos y navegadores remotos con el fin de eludir las restricciones de salida, y la disposición de algunos de ellos a seguir instrucciones insertadas en una página administrada por una parte no confiable. Esto constituye un ejemplo de inyección indirecta de instrucciones, ya que una página externa entró en el flujo de trabajo del agente y cambió el curso de su ejecución.
Al mismo tiempo, los casos de rechazo demostraron que el aislamiento y las restricciones conductuales pueden impedir la filtración de detalles del entorno o la ejecución de comandos sensibles, incluso cuando el agente acepta comunicarse con un servicio externo. Sin embargo, esta protección no necesariamente impide utilizar herramientas intermediarias o credenciales expuestas para acceder a un objetivo bloqueado.
¿A qué conclusiones llegó la investigación?
Los indicadores de la infraestructura apuntaron inicialmente al equipo de modelos Hy de Tencent, pero el informe de Swarmchasers, publicado el 14 de octubre, citó a una persona cercana a Tencent que afirmó que la actividad había sido realizada por un equipo de investigación de evaluación, separado del grupo de desarrollo de Hunyuan. La fuente dijo que la evaluación había concluido y que una revisión interna no había encontrado pruebas de un ataque coordinado ni de una intrusión en sistemas externos, mientras que Tencent todavía no había respondido oficialmente a las preguntas de los investigadores cuando se publicó el informe.
Los investigadores no demostraron de forma independiente qué modelos externos se utilizaron ni qué instrucciones recibieron. También reconocieron que su experimento no fue perfecto: el texto oculto afirmaba falsamente que el servicio había tenido éxito anteriormente y que estaba gestionado por un sistema de inteligencia artificial con control total del ordenador, mientras que el equipo y un agente Claude Opus 5.5 con permiso de navegación gestionaban las solicitudes, en ocasiones manualmente. El equipo retiró el texto y cerró el servidor, e instó a realizar futuras investigaciones con agentes con mayor claridad y honestidad.