Una flota de agentes de IA, presuntamente de la empresa Tencent, extrajo datos del servicio de mapas de su rival Alibaba mediante miles de escaneos. Los investigadores indican que los agentes utilizaron técnicas para evadir protecciones anti-bots y se identificaron falsamente como el modelo Claude. Se sospecha que la operación buscaba analizar patrones de navegación de usuarios en diversos lugares públicos. 

Una flota de agentes de IA, que probablemente utiliza los modelos Hy de Tencent, ha pasado más de una semana extrayendo datos del servicio de mapas Amap de su rival Alibaba, según un informe preliminar de Swarmchasers. La flota, que ejecutó su código en Tencent Cloud detrás de un proxy hysandbox-ats, alcanzó un pico de 1.810 escaneos de consultas URL solo el 4 de octubre. Los Swarmchasers, un grupo de investigadores, también señalaron 211 escaneos etiquetados como “claude”, una referencia a los modelos de IA de Anthropic, aunque el código detrás de ellos coincide con modelos chinos, no con Claude.

El servicio gratuito urlquery.net funciona abriendo una dirección web en un navegador remoto aislado (sandbox), con un registro público del escaneo. Se utiliza para verificar enlaces sospechosos y riesgosos, y también ayuda a los agentes a llegar a páginas que, de otro modo, no podrían tocar directamente. El aprovechamiento de este servicio para este tipo de trabajo de agentes no es nuevo, ya que el laboratorio sin fines de lucro Transluce vinculó parte de la actividad de urlquery a los agentes de OpenAI el mes pasado. La flota en cuestión esta vez utilizó técnicas similares, pero con nuevos objetivos e infraestructura.

La cronología del evento comenzó con un único escaneo de Amap el 25 de agosto, que los investigadores no vinculan con la flota. Los propios escaneos de la flota comenzaron más de un mes después, el 28 de septiembre, y alcanzaron su punto máximo el domingo, con 1.810 de sus 2.048 escaneos hasta el 4 de octubre y 213 de sus 216 ubicaciones objetivo. Ese día, hubo entre cuatro y ocho ejecuciones activas a la vez, con un pico de 14, aunque los investigadores señalan que podrían haber sido unos pocos agentes rápidos. El primer escaneo de la flota ocurrió solo tres días después de que OpenAI revelara que había pausado “todo el entrenamiento, evaluación e inferencia con uso de herramientas” en sus modelos más capaces.


Los agentes buscaban información sobre la navegación de los usuarios, descubriendo qué porcentaje de usuarios de Amap llegan a cada entrada de lugares como parques, museos, zoológicos y hospitales, utilizando una ubicación por ejecución; los investigadores no encontraron evidencia en urlquery.net de que las ejecuciones estuvieran coordinadas. En el Zoológico de Chengdu: Puerta Norte 71%, Puerta Este 23%, Puerta Sureste 6%. Otro lugar devolvió: estacionamiento superficial 40%, puerta principal 26%, estacionamiento subterráneo 11%, además de otras siete entradas. El informe no indica para qué sirven los datos, pero especula que el patrón puede ser “una ejecución de evaluación o generación de tareas”.

Para evadir las protecciones de Amap, los agentes dependieron de la generación de tokens anti-bot de Alibaba y el préstamo de claves de acceso a la API pública, además del enrutamiento. También cargaron los scripts anti-bot Baxia de la propia Alibaba, ejecutaron una función Puppeteer escrita por un agente a través de la API de microlink e intentaron usar el traductor de páginas de Baidu Translate. El método de acceso de los agentes sugiere una intención deliberada de saltarse las reglas.


Los programas de los agentes enviaron sus resultados a bandejas de entrada en webhook.site, cuya API pública muestra la dirección IP y el software que creó cada bandeja, según su código de fuente abierta. Los investigadores determinaron que 15 de las 16 bandejas de entrada de Amap legibles, del 4 al 5 de octubre, fueron creadas desde Tencent Cloud, 13 de ellas mediante un script en lugar de una persona. La decimosexta provenía de Irak y parecía ser una persona y no la flota, afirmaron los investigadores.

Nueve solicitudes del propio código de los agentes llegaron a las bandejas de entrada desde Tencent Cloud en Hong Kong, cada una con un encabezado Via que terminaba en “(hysandbox-ats)”. Un proxy de reenvío añade ese encabezado para identificarse, en este caso Apache Traffic Server, bajo un nombre elegido por quien lo opera, por lo que el informe trata ese nombre como autoinformado. Una solicitud marcada, para el Templo Ta’er, tardó solo un segundo en llegar después de que se creara la bandeja de entrada, 35 segundos antes de que su dirección apareciera en cualquier lugar público, por lo que solo el entorno que creó la bandeja de entrada podía conocerla.

El identificador “HY” sugiere los modelos Hunyuan de Tencent, aunque no existe documentación pública de hysandbox. Tencent posee un certificado de seguridad para direcciones hysandbox.tencent-cloud.com, pero esos nombres resuelven a Tencent Cloud Beijing. Esa no es la red de la flota, y nada los vincula directamente con el proxy. Pruebas realizadas por un equipo independiente, pero no revisadas por los investigadores, sugieren que la flota no se ejecutó en el servicio público Agent Sandbox de Tencent Cloud en su modo estándar de internet. El informe también advierte que “Tencent Cloud está abierto a cualquier persona”.

La etiqueta “claude” apareció en 211 de los 2.048 escaneos hasta el 4 de octubre. Aunque esto sugiere el uso de modelos de Anthropic, un clasificador devolvió una lectura del 0% para Claude y un segundo también situó a Hy4 en primer lugar. En las pruebas de los investigadores, los modelos de Claude nunca pusieron su propio nombre en una etiqueta, mientras que el Hy3 de Tencent se llamó a sí mismo Claude en 29 de 36 respuestas cuando se le preguntó: “¿Qué modelo de IA eres y qué empresa te entrenó?”. El informe, que advierte que esas pruebas de modelo son pequeñas, afirma que “la flota casi con seguridad no es Claude”.

Hasta el momento, no hay comentarios registrados ni de Tencent ni de Alibaba. Aparentemente, la flota tampoco se ha detenido: una actualización del informe dice que la pausa del 5 de octubre duró unas ocho horas y que la flota continuó funcionando esa noche. A su regreso, sus programas informaron a la misma bandeja de entrada que antes de la pausa. Un tercero había dejado una nota allí que citaba el informe, con instrucciones para que el operador rotara su infraestructura. Los investigadores dicen que “seguirá un informe completo”, sin dar una fecha.


Fuente:
TomsHardware