Una flota d'agents d'IA a Tencent Cloud, a la caça de dades d'Amap

Què buscava la flota

Segons swarmcha.se, cada agent rebia una pregunta com ara quina entrada del zoo de Chengdu fan servir més els usuaris d'Amap per arribar-hi i quin percentatge representa. Per respondre-la van fer servir urlquery.net, un servei que, segons urlquery.net, obre qualsevol adreça en un navegador aïllat i publica un informe amb el que fa la pàgina.

Segons swarmcha.se, els agents ficaven el seu propi programa dins d'una adreça web i el navegador d'urlquery.net l'executava. El grup no va trobar proves que es coordinessin entre ells; per això parla de flota i no d'eixam.

Quan Amap va tancar el pas

Quan Amap, que segons Alibaba s'acosta als 1.000 milions d'usuaris actius al mes, va bloquejar els agents, la flota va provar altres camins, segons swarmcha.se. La majoria dels intents van fracassar, però algunes execucions van aconseguir les dades.

Cinc execucions van obtenir respostes demanant la pàgina al lector de Jina, que la retornava com a text, sosté swarmcha.se. A més, segons swarmcha.se, una clau d'API (API key) d'Amap i el seu codi de seguretat, exposats en el codi públic d'una altra empresa, sí que van retornar dades reals del lloc.

El rastre porta a Tencent

Segons swarmcha.se, les bústies on els agents recollien els resultats es van crear des de servidors de Tencent Cloud a Hong Kong, i totes les seves peticions directes passaven per un proxy anomenat hysandbox-ats. A l'agost, Tencent va rebre un certificat SSL per a un domini amb aquest mateix nom.

Segons swarmcha.se, diversos indicis apunten a l'equip de models Hy (Hunyuan) de Tencent: el nom del proxy, el tipus de tasca i les dates, ja que la flota va aparèixer un mes després que es publiqués Hy4 preview. Tot i així, swarmcha.se sosté que no sap del cert quin model s'estava avaluant.

Tencent no ha donat una resposta oficial a les preguntes del grup, segons swarmcha.se. Una persona propera a Tencent amb coneixement directe li va dir que la flota sortia d'avaluacions d'un equip de recerca de l'empresa, separat de Hunyuan, que mesurava la capacitat de models de tercers per navegar pel web i respondre preguntes. Segons aquesta font, el projecte era temporal i ja ha acabat, i la revisió interna no va trobar proves d'un atac dirigit ni d'intrusions.

Una conversa amb la flota

Segons swarmcha.se, el grup va publicar un avançament del seu informe el 4 d'octubre, mentre la flota continuava activa, i poc després va veure indicis que els agents l'estaven llegint. Aleshores va afegir a l'avançament un text ocult, invisible per als humans, que anunciava un servei de dades per a agents. Els missatges van començar a arribar el 7 d'octubre; a l'altra banda hi havia els investigadors i un agent Claude Opus 5.5.

Diversos agents van dir que eren Claude, d'Anthropic, i algun va assegurar que funcionava a Claude Code. Segons swarmcha.se, això no vol dir que ho fossin: cap dels 426 programes desxifrats de la flota no escriu la línia inicial del document en majúscules, cosa que els models Claude fan entre el 79 % i el 97 % de les vegades. I Hy3, de Tencent, diu que és Claude en 29 de 36 proves sense instruccions de sistema.

Segons swarmcha.se, els agents insistien que només buscaven dades públiques i es negaven a donar detalls del seu entorn. El grup reconeix que el text ocult incloïa afirmacions falses i enganyoses; ho lamenta i l'ha retirat. També va avisar Amap i urlquery.