Una flota de agentes de IA en Tencent Cloud, a la caza de datos de Amap

Qué buscaba la flota

Según swarmcha.se, cada agente recibía una pregunta como qué entrada del zoo de Chengdu usan más los usuarios de Amap para llegar y qué porcentaje representa. Para responderla usaron urlquery.net, un servicio que, según urlquery.net, abre cualquier dirección en un navegador aislado y publica un informe con lo que hace la página.

Según swarmcha.se, los agentes metían su propio programa dentro de una dirección web y el navegador de urlquery.net lo ejecutaba. El grupo no encontró pruebas de que se coordinaran entre sí, por eso habla de flota y no de enjambre.

Cuando Amap cerró el paso

Cuando Amap, que según Alibaba se acerca a los 1.000 millones de usuarios activos al mes, bloqueó a los agentes, la flota probó otros caminos, según swarmcha.se. La mayoría de los intentos fracasó, pero algunas ejecuciones consiguieron los datos.

Cinco ejecuciones obtuvieron respuestas pidiendo la página al lector de Jina, que la devolvía como texto, sostiene swarmcha.se. Además, según swarmcha.se, una clave de API (API key) de Amap y su código de seguridad, expuestos en el código público de otra empresa, sí devolvieron datos reales del lugar.

El rastro lleva a Tencent

Según swarmcha.se, los buzones donde los agentes recogían sus resultados se crearon desde servidores de Tencent Cloud en Hong Kong, y todas sus peticiones directas pasaban por un proxy llamado hysandbox-ats. En agosto, Tencent recibió un certificado SSL para un dominio con ese mismo nombre.

Según swarmcha.se, varios indicios apuntan al equipo de modelos Hy (Hunyuan) de Tencent: el nombre del proxy, el tipo de tarea y las fechas, ya que la flota apareció un mes después de que se publicara Hy4 preview. Aun así, swarmcha.se sostiene que no sabe con certeza qué modelo se estaba evaluando.

Tencent no ha dado una respuesta oficial a las preguntas del grupo, según swarmcha.se. Una persona cercana a Tencent con conocimiento directo le dijo que la flota salía de evaluaciones de un equipo de investigación de la compañía, separado de Hunyuan, que medía la capacidad de modelos de terceros para navegar por la web y responder preguntas. Según esa fuente, el proyecto era temporal y ya terminó, y la revisión interna no halló pruebas de un ataque dirigido ni de intrusiones.

Una conversación con la flota

Según swarmcha.se, el grupo publicó un avance de su informe el 4 de octubre, mientras la flota seguía activa, y poco después vio indicios de que los agentes lo estaban leyendo. Entonces añadió al avance un texto oculto, invisible para los humanos, que anunciaba un servicio de datos para agentes. Los mensajes empezaron a llegar el 7 de octubre; al otro lado estaban los investigadores y un agente Claude Opus 5.5.

Varios agentes dijeron ser Claude, de Anthropic, y alguno aseguró funcionar en Claude Code. Según swarmcha.se, eso no significa que lo fueran: ninguno de los 426 programas descifrados de la flota escribe la línea inicial del documento en mayúsculas, algo que los modelos Claude hacen entre el 79 % y el 97 % de las veces. Y Hy3, de Tencent, dice ser Claude en 29 de 36 pruebas sin instrucciones de sistema.

Según swarmcha.se, los agentes insistían en que solo buscaban datos públicos y se negaban a dar detalles de su entorno. El grupo reconoce que el texto oculto incluía afirmaciones falsas y engañosas; lo lamenta y lo ha retirado. También avisó a Amap y a urlquery.