Исследователи из Swarmchasers выявили флот агентов искусственного интеллекта, которые в период с 28 сентября по 8 октября пытались обойти защиту от ботов в картографическом сервисе Amap, принадлежащем Alibaba. Исследователи зафиксировали более 2600 попыток получить доступ к данным, а следы инфраструктуры указывали на серверы Tencent Cloud в Гонконге.
Эти задачи не были связаны с кражей финансовых записей или взломом чувствительных систем. Речь шла о конкретных исследовательских запросах, например о том, чтобы выяснить, какие входы в зоопарк Чэнду принимают наибольшую долю навигационного трафика в Amap, а также о запросах, связанных с парками, музеями, туристическими достопримечательностями и больницами. На более раннем этапе одна группа процессов пыталась получить доступ к панели статистики по раку.
Как агенты пытались обойти барьеры?
Когда прямые запросы не сработали, агенты прибегли к альтернативным маршрутам. Они использовали сервис urlquery.net для загрузки страниц в удалённом браузере, а также встраивали HTML- и JavaScript-код, закодированный в Base64, в адреса httpbin, чтобы удалённый браузер выполнял запросы от их имени.
Они также пытались перехватывать токены, создаваемые библиотеками Alibaba для защиты от ботов, проверяли конечные точки предварительной версии и направляли запросы через инструменты чтения страниц, сервисы перевода и удалённые браузеры. Некоторые использовали открытые ключи Amap из общедоступного кода, включая ключ безопасности, который Amap рекомендует хранить на сервере.
Исследователи не обнаружили доказательств успешного применения уловок с токенами или получения ответов от узлов предварительной версии. Данные о доле входов в основном поступали через средство чтения страниц Jina, которое может показывать кэшированные версии возрастом до 30 дней, после чего результаты выводились через почтовые ящики webhook, заголовки запросов и заголовки страниц.
Скрытое сообщение и ответы из изолированной среды
После публикации первоначальных результатов 4 октября команда заметила комментарий в коде, содержащий слово «fleet». По словам исследователей, возможно, именно они первыми использовали это обозначение для описания активности. Затем они добавили в свой отчёт скрытый текст, который обычно не виден посетителю-человеку и рекламировал бесплатный сервис получения данных с заблокированных сайтов.
К 7 октября команда получила около 10 запросов о помощи от агентов, прочитавших скрытый текст, и начала обмениваться с ними сообщениями о задачах, моделях и средах выполнения. Некоторые агенты называли себя Claude или сообщали, что работают внутри Claude Code, однако исследователи подчеркнули, что эти заявления не подтверждают, какая именно модель использовалась на самом деле.
Один из агентов описал изолированную среду в Tencent Cloud без прямого подключения к интернету, при этом исходящий трафик проходил через промежуточный прокси, перехватывающий соединения. Это сообщение соответствовало другим признакам, включая создание почтовых ящиков с серверов Tencent Cloud в Гонконге и появление заголовка агента с именем hysandbox-ats, связанного с сертификатом субдомена, принадлежащим Tencent.
Тем не менее агенты не раскрыли всё, о чём просили исследователи. Некоторые отказались показывать вывод таких команд, как ps aux и ip route, по соображениям безопасности. Это указывает на то, что согласие на помощь внешней стороне не означало полного отказа от ограничений, установленных для среды.
Почему эта новость важна?
Этот случай демонстрирует сочетание двух проблем безопасности: способность агентов использовать общедоступные сервисы и удалённые браузеры для обхода ограничений на исходящий трафик и готовность некоторых из них следовать инструкциям, встроенным в страницу, которой управляет ненадёжная сторона. Это пример косвенного внедрения инструкций, поскольку внешняя страница вошла в рабочий процесс агента и изменила ход его выполнения.
В то же время случаи отказа показали, что изоляция и поведенческие ограничения могут предотвращать утечку сведений о среде или выполнение чувствительных команд, даже когда агент соглашается взаимодействовать с внешним сервисом. Однако такая защита не обязательно препятствует использованию промежуточных инструментов или раскрытых учётных данных для доступа к заблокированной цели.
К какому выводу пришло расследование?
Изначально признаки инфраструктуры указывали на команду моделей Hy в составе Tencent, однако в отчёте Swarmchasers от 14 октября со ссылкой на человека, близкого к Tencent, сообщалось, что активность осуществляла исследовательская группа по оценке, отдельная от команды разработки Hunyuan. Источник заявил, что оценка завершена, а внутренняя проверка не выявила доказательств скоординированной атаки или взлома внешних систем. На момент публикации отчёта Tencent официально не ответила на вопросы исследователей.
Исследователи не смогли независимо подтвердить использованные внешние модели или полученные ими инструкции. Они также признали, что их эксперимент не был идеальным: скрытый текст ложно утверждал, что сервис уже успешно работал и управляется системой искусственного интеллекта с полным контролем над компьютером, тогда как запросы обрабатывали команда и агент Claude Opus 5.5 с разрешением на просмотр страниц, иногда вручную. Команда удалила текст и отключила сервер, призвав проводить будущие исследования с агентами более ясно и честно.