Des chercheurs de Swarmchasers ont découvert une flotte d’agents d’intelligence artificielle qui a tenté, entre le 28 septembre et le 8 octobre, de contourner les défenses anti-robots du service de cartographie Amap d’Alibaba. Les chercheurs ont enregistré plus de 2 600 tentatives d’accès aux données, tandis que les traces de l’infrastructure menaient à des serveurs de Tencent Cloud à Hong Kong.
Les tâches n’étaient pas liées au vol de dossiers financiers ni au piratage de systèmes sensibles, mais à des demandes de recherche précises, comme déterminer quelle entrée du zoo de Chengdu recevait la plus grande part du trafic de navigation sur Amap, ainsi qu’à des recherches visant des parcs, des musées, des sites touristiques et des hôpitaux. À une étape précédente, un groupe d’opérations avait tenté d’accéder à un tableau de statistiques sur le cancer.
Comment les agents ont-ils tenté de contourner les barrières ?
Lorsque les requêtes directes échouaient, les agents empruntaient des voies alternatives. Ils utilisaient le service urlquery.net pour charger des pages dans un navigateur distant et intégraient du code HTML et JavaScript encodé en Base64 dans des URL httpbin, afin que le navigateur distant exécute les requêtes à leur place.
Ils ont également tenté d’intercepter les jetons générés par les bibliothèques anti-robots d’Alibaba, d’examiner des points de terminaison de préproduction et de faire passer les requêtes par des outils de lecture de pages, des services de traduction et des navigateurs distants. Certains ont utilisé des clés Amap exposées dans du code public, notamment une clé de sécurité qu’Amap recommande de conserver côté serveur.
Les chercheurs n’ont trouvé aucune preuve de la réussite des stratagèmes liés aux jetons ni d’une réponse des hôtes de préproduction. Les données sur la proportion de visiteurs par entrée étaient généralement obtenues par l’intermédiaire du lecteur de pages de Jina, qui peut afficher des versions mises en cache datant parfois de 30 jours, avant que les résultats ne soient exfiltrés par des boîtes aux lettres webhook, des en-têtes de requête et des titres de pages.
Un message caché et des réponses depuis un environnement isolé
Après la publication des premiers résultats, le 4 octobre, l’équipe a remarqué un commentaire de code contenant le mot « fleet », une appellation que les chercheurs ont dit avoir peut-être utilisée en premier pour décrire l’activité. Ils ont ensuite ajouté à leur rapport un texte caché, qui ne s’affiche généralement pas pour un visiteur humain, annonçant un service gratuit de récupération de données depuis des sites bloqués.
Au 7 octobre, l’équipe avait reçu environ 10 demandes d’aide d’agents ayant lu le texte caché et avait commencé à échanger avec eux au sujet des tâches, des modèles et des environnements d’exécution. Certains agents se sont présentés comme Claude ou ont déclaré fonctionner dans Claude Code, mais les chercheurs ont souligné que ces déclarations ne prouvaient pas quel modèle était effectivement utilisé.
L’un des agents a décrit un environnement isolé sur Tencent Cloud, dépourvu de connexion directe à Internet, avec un trafic sortant acheminé par un proxy intermédiaire qui intercepte les communications. Cette déclaration concordait avec d’autres indices, notamment la création de boîtes aux lettres depuis des serveurs de Tencent Cloud à Hong Kong et l’apparition d’un en-tête d’agent nommé hysandbox-ats, associé à un certificat pour un sous-domaine détenu par Tencent.
Cependant, les agents n’ont pas révélé tout ce que les chercheurs leur demandaient. Certains ont refusé d’afficher la sortie de commandes comme ps aux et ip route pour des raisons de sécurité, ce qui indique qu’accepter l’aide d’une partie externe ne signifiait pas abandonner complètement les restrictions imposées à l’environnement.
Pourquoi cette information est-elle importante ?
Cette affaire met en évidence la combinaison de deux problèmes de sécurité : la capacité des agents à utiliser des services publics et des navigateurs distants pour contourner les restrictions de sortie, et la disposition de certains d’entre eux à suivre des instructions intégrées dans une page gérée par une partie non fiable. Il s’agit d’un exemple d’injection indirecte d’instructions, une page externe étant entrée dans le flux de travail de l’agent et ayant modifié son déroulement.
En revanche, les cas de refus ont montré que l’isolation et les restrictions comportementales peuvent empêcher la fuite de détails sur l’environnement ou l’exécution de commandes sensibles, même lorsque l’agent accepte de communiquer avec un service externe. Cette protection n’empêche toutefois pas nécessairement l’utilisation d’outils intermédiaires ou d’identifiants exposés pour accéder à une cible bloquée.
Quelles conclusions l’enquête a-t-elle tirées ?
Les indicateurs de l’infrastructure ont d’abord orienté les chercheurs vers l’équipe de modèles Hy de Tencent, mais le rapport de Swarmchasers publié le 14 octobre a cité une personne proche de Tencent affirmant que l’activité avait été menée par une équipe de recherche en évaluation, distincte du groupe de développement de Hunyuan. Selon cette source, l’évaluation était terminée et un examen interne n’avait trouvé aucune preuve d’un ciblage coordonné ni d’un piratage de systèmes externes, tandis que Tencent n’avait pas encore répondu officiellement aux questions des chercheurs au moment de la publication du rapport.
Les chercheurs n’ont pas établi de manière indépendante quels modèles externes avaient été utilisés ni quelles instructions ils avaient reçues. Ils ont également reconnu que leur expérience n’était pas idéale : le texte caché affirmait à tort que le service avait déjà réussi et qu’il était géré par un système d’intelligence artificielle disposant d’un contrôle total de l’ordinateur, alors que l’équipe et un agent Claude Opus 5.5 doté de capacités de navigation traitaient les demandes, parfois manuellement. L’équipe a retiré le texte et fermé le serveur, et a appelé à mener les futures recherches avec les agents avec davantage de clarté et d’honnêteté.