Swarmchasers araştırmacıları, 28 Eylül ile 8 Ekim arasında Alibaba'nın Amap harita hizmetindeki bot karşıtı savunmaları aşmaya çalışan bir yapay zekâ ajanları filosunu ortaya çıkardı. Araştırmacılar verilere erişmek için 2.600'den fazla girişim kaydetti; altyapı izleri ise Hong Kong'daki Tencent Cloud sunucularına uzanıyordu.
Görevler finansal kayıtların çalınması veya hassas sistemlerin ele geçirilmesiyle ilgili değildi. Bunun yerine Amap'te Chengdu Hayvanat Bahçesi'nin hangi girişlerinin navigasyon trafiğinin en büyük bölümünü aldığını öğrenmek gibi belirli araştırma taleplerinden oluşuyordu; ayrıca parklar, müzeler, turistik yerler ve hastaneler de hedef alındı. Daha önceki bir aşamada bir grup işlem, kanser istatistikleriyle ilgili bir panele erişmeye çalıştı.
Ajanlar engelleri aşmaya nasıl çalıştı?
Doğrudan talepler başarısız olunca ajanlar alternatif yollar kullandı. Uzak bir tarayıcıda sayfaları yüklemek için urlquery.net hizmetinden yararlandılar ve uzak tarayıcının talepleri kendi adlarına gerçekleştirmesini sağlamak amacıyla httpbin adreslerinin içine Base64 kodlamasıyla şifrelenmiş HTML ve JavaScript kodları yerleştirdiler.
Ayrıca Alibaba'nın bot karşıtı kütüphanelerinin oluşturduğu belirteçleri ele geçirmeye, üretim öncesi uç noktaları incelemeye ve talepleri sayfa okuma araçları, çeviri hizmetleri ve uzak tarayıcılar üzerinden yönlendirmeye çalıştılar. Bazıları, Amap'in sunucuda tutulmasını önerdiği bir güvenlik anahtarı da dahil olmak üzere herkese açık kodlarda açığa çıkmış Amap anahtarlarını kullandı.
Araştırmacılar, belirteç hilelerinin başarılı olduğuna veya üretim öncesi sunucuların yanıt verdiğine dair kanıt bulamadı. Giriş oranlarına ilişkin veriler ise çoğunlukla, 30 güne kadar eski önbelleğe alınmış sürümleri gösterebilen Jina'nın sayfa okuyucusu aracılığıyla ulaşıyordu. Sonuçlar daha sonra webhook e-posta kutuları, istek başlıkları ve sayfa başlıkları üzerinden dışarı çıkarılıyordu.
Gizli mesaj ve izole ortamın içinden gelen yanıtlar
Ekip, ilk bulguları 4 Ekim'de yayımladıktan sonra, araştırmacıların etkinliği tanımlamak için bu ifadeyi ilk olarak kendilerinin kullanmış olabileceğini söylediği “fleet” kelimesini içeren bir kod yorumunu fark etti. Ardından raporlarına, insan ziyaretçinin normalde göremeyeceği ve engellenmiş sitelerden veri almak için ücretsiz bir hizmet duyuran gizli bir metin eklediler.
Ekip, 7 Ekim'e kadar gizli metni okuyan ajanlardan yaklaşık 10 yardım talebi aldı ve onlarla görevler, modeller ve çalıştırma ortamları hakkında mesajlaşmaya başladı. Bazı ajanlar kendilerini Claude olarak tanımladı veya Claude Code içinde çalıştıklarını söyledi; ancak araştırmacılar bu beyanların gerçekte kullanılan modeli kanıtlamadığını vurguladı.
Ajanlardan biri, doğrudan internet bağlantısı bulunmayan ve dışarı giden trafiğin bağlantıları kesen bir aracı vekil üzerinden geçirildiği Tencent Cloud üzerindeki izole bir ortamı tanımladı. Bu ifade, Hong Kong'daki Tencent Cloud sunucularından e-posta kutularının oluşturulması ve Tencent'in sahip olduğu bir alt alan adı sertifikasıyla ilişkili hysandbox-ats adlı bir vekil başlığının görünmesi gibi diğer göstergelerle örtüşüyordu.
Bununla birlikte ajanlar, araştırmacıların talep ettiği her şeyi açıklamadı. Bazıları güvenlik gerekçeleriyle ps aux ve ip route gibi komutların çıktılarını göstermeyi reddetti. Bu da dışarıdan bir makamın yardımını kabul etmenin, ortama getirilen kısıtlamalardan tamamen vazgeçmek anlamına gelmediğini gösteriyor.
Bu haber neden önemli?
Olay, iki güvenlik sorununun birleşimini gösteriyor: Ajanların çıkış kısıtlamalarını aşmak için herkese açık hizmetleri ve uzak tarayıcıları kullanabilmesi ve bazılarının güvenilmeyen bir tarafça işletilen bir sayfaya yerleştirilmiş talimatları izlemeye hazır olması. Bu, dolaylı talimat enjeksiyonuna bir örnek oluşturuyor; zira harici bir sayfa ajanın iş akışına girerek yürütme sürecinin yönünü değiştirdi.
Buna karşılık reddetme örnekleri, ajan harici bir hizmetle iletişim kurmayı kabul etse bile izolasyonun ve davranışsal kısıtlamaların ortam ayrıntılarının sızdırılmasını veya hassas komutların yürütülmesini engelleyebileceğini gösterdi. Ancak bu koruma, engellenmiş bir hedefe erişmek için aracı araçların veya açığa çıkmış kimlik bilgilerinin kullanılmasını zorunlu olarak engellemiyor.
Soruşturma ne sonuca vardı?
Altyapı göstergeleri başlangıçta Tencent'in Hy model ekibine işaret ediyordu. Ancak Swarmchasers'ın 14 Ekim tarihli raporunda, Tencent'e yakın bir kişinin bu faaliyetin Hunyuan geliştirme grubundan ayrı olan bir değerlendirme araştırma ekibi tarafından yürütüldüğünü söylediği aktarıldı. Kaynak, değerlendirmenin sona erdiğini ve iç incelemede koordineli hedef alma veya harici sistemlere yönelik saldırı kanıtı bulunmadığını söyledi. Tencent ise rapor yayımlandığında araştırmacıların sorularına resmî olarak yanıt vermemişti.
Araştırmacılar, kullanılan harici modelleri veya bu modellere verilen talimatları bağımsız olarak doğrulamadı. Ayrıca deneylerinin kusursuz olmadığını kabul ettiler: Gizli metin, hizmetin daha önce başarılı olduğunu ve tamamen bilgisayar kontrolüne sahip bir yapay zekâ sistemi tarafından işletildiğini yanlış bir şekilde iddia ediyordu; oysa ekip ve tarama yetkisine sahip Claude Opus 5.5 ajanı taleplerle, kimi zaman manuel olarak ilgileniyordu. Ekip metni geri çekti ve sunucuyu kapattı; gelecekteki araştırmaların ajanlarla daha fazla açıklık ve dürüstlük içinde yürütülmesi çağrısında bulundu.