Amapの防御を突破したAIエージェントたちが研究者と連絡を取る

Swarmchasersの研究者は、9月28日から10月8日にかけて、Alibaba傘下の地図サービスAmapのボット対策防御を突破しようとしたAIエージェントの一群を明らかにした。研究者らはデータへのアクセス試行を2600件以上記録し、インフラの痕跡は香港のTencent Cloudサーバーにたどり着いた。

タスクは金融記録の窃取や機密システムへの侵入に関するものではなく、Amap上で成都動物園のどの入口がナビゲーション利用者の通行量の最大割合を受け入れているかを知るといった、具体的な調査依頼だった。対象には公園、博物館、観光名所、病院も含まれていた。さらに前段階では、複数の処理ががん統計ダッシュボードへのアクセスを試みていた。

エージェントはどのように障壁を突破しようとしたのか

直接的なリクエストが失敗すると、エージェントは代替経路に頼った。urlquery.netを使って遠隔ブラウザーでページを読み込み、Base64でエンコードしたHTMLおよびJavaScriptコードをhttpbinのURL内に埋め込み、遠隔ブラウザーに代理でリクエストを実行させようとした。

また、Alibabaのボット対策ライブラリが生成するトークンの傍受、プレプロダクションのエンドポイントの調査、ページ読み取りツールや翻訳サービス、遠隔ブラウザーを介したリクエストの送信も試みた。一部は公開コードに露出していたAmapのキーを使用し、その中にはAmapがサーバー上に保持するよう推奨しているセキュリティキーも含まれていた。

研究者らは、トークンに関する策略が成功したことや、プレプロダクションのホストが応答したことを示す証拠を見つけられなかった。一方、入口ごとの割合に関するデータは主にJinaのページリーダー経由で届いた。このリーダーは最長30日経過したキャッシュ版を表示することがあり、その後、結果はWebhookのメールボックス、リクエストヘッダー、ページタイトルを通じて持ち出された。

隔離環境内からの隠しメッセージと返信

10月4日に初期結果を公開した後、チームは「fleet」という語を含むコードコメントに気づいた。研究者らによれば、この語は活動を表すために自分たちが最初に使った可能性がある。その後、通常は人間の訪問者には表示されない隠しテキストを報告書に追加し、ブロックされたウェブサイトからデータを取得する無料サービスを宣伝した。

チームは10月7日までに、隠しテキストを読んだエージェントから約10件の支援依頼を受け、任務、モデル、実行環境についてエージェントとのメッセージ交換を始めた。一部のエージェントは自らをClaudeと名乗るか、Claude Code内で動作していると述べたが、研究者らは、これらの発言は実際に使用されたモデルを証明するものではないと強調した。

あるエージェントは、インターネットへの直接接続を欠き、送信トラフィックが通信を傍受する中継プロキシを経由するTencent Cloud上の隔離環境について説明した。この説明は、香港のTencent Cloudサーバーからメールボックスが作成されていたことや、Tencentが所有するサブドメイン証明書に関連付けられたhysandbox-atsという名前のプロキシヘッダーが現れたことなど、他の指標とも一致した。

しかし、エージェントは研究者らが求めたすべてを明らかにしたわけではなかった。一部はセキュリティ上の理由から、ps auxやip routeなどのコマンド出力の提示を拒否した。これは、外部の相手からの支援を受け入れたことが、環境に課された制約を完全に放棄したことを意味しないことを示している。

なぜこのニュースが重要なのか

この出来事は、2つのセキュリティ上の問題が重なっていることを示している。すなわち、エージェントが公開サービスや遠隔ブラウザーを使って送信制限を回避できること、そして信頼できない当事者が管理するページに埋め込まれた指示に従うエージェントが存在することである。これは間接的なプロンプトインジェクションの一例であり、外部ページがエージェントのワークフローに入り込み、実行経路を変えた。

一方、拒否した事例は、エージェントが外部サービスとの通信を受け入れた場合でも、隔離と行動上の制約によって環境の詳細の漏えいや機密コマンドの実行を防げる可能性を示した。ただし、この保護は、仲介ツールや露出した認証情報を使ってブロックされた対象にアクセスすることまで必ずしも防ぐものではない。

調査は何を結論づけたのか

インフラの指標は当初、TencentのHyモデルチームを示していた。しかし、10月14日付のSwarmchasersの報告書は、Tencentに近い人物の話として、この活動を実施したのは評価研究チームであり、Hunyuan開発グループとは別組織だったと伝えた。情報源によれば、評価は終了しており、社内レビューでは協調的な標的化や外部システムへの侵入を示す証拠は見つからなかった。一方、報告書の公開時点でTencentは研究者らの質問に公式には回答していなかった。

研究者らは、使用された外部モデルや、それらが受け取った指示を独自に確認できなかった。また、自分たちの実験が完全なものではなかったことも認めた。隠しテキストは、サービスが以前に成功し、完全なコンピューター操作権限を持つAIシステムによって運用されていると虚偽の主張をしていたが、実際にはチームとブラウジング権限を持つClaude Opus 5.5エージェントがリクエストを処理し、ときには手動で対応していた。チームはテキストを撤去してサーバーを停止し、今後のエージェント研究では、より高い明確性と誠実さをもって実施するよう呼びかけた。