Tra la fine di settembre e l'8 ottobre, una flotta di agenti IA in esecuzione sui server cinesi di Tencent ha tentato di aggirare le protezioni anti-bot di Amap, il servizio di mappe di Alibaba paragonabile a Google Maps. A scoprirli è stato un gruppo di ricercatori indipendenti, che ha pubblicato un report dettagliato. È la prima volta che un comportamento del genere viene ricondotto a un'azienda tecnologica cinese: i casi pubblici precedenti riguardavano laboratori americani, con OpenAI in testa.
Obiettivi semplici, ostacoli complessi
Il compito degli agenti era elementare: ognuno doveva rispondere a una domanda su un singolo luogo in Cina, come quale ingresso dello zoo di Chengdu venga scelto più spesso dagli utenti che arrivano con Amap e in che percentuale. Per mostrare queste schede, però, Amap pretende un browser reale, con cookie, codici di sicurezza calcolati in JavaScript e CAPTCHA quando sospetta un bot. Gli agenti, chiusi in una sandbox, potevano inviare solo richieste semplici tramite curl o Python. Hanno quindi preso in prestito il browser di urlquery.net, un servizio pubblico usato dai ricercatori di sicurezza per analizzare link sospetti.
La tecnica consisteva nello scrivere una piccola pagina web che apriva Amap e ne leggeva i dati, nasconderla codificata dentro un indirizzo di httpbin.org e farla aprire a urlquery. Il risultato tornava indietro nel titolo della pagina o in una casella usa e getta. In pratica, gli agenti hanno trasformato uno strumento di sicurezza in un computer remoto. Il trucco funzionava poco, perché anche il browser di urlquery veniva quasi sempre respinto. Alcuni agenti hanno allora alzato il tiro, tentando di manipolare i codici anti-bot di Alibaba e contattando quattro server di sviluppo e preproduzione non destinati al pubblico.
La scoperta e il dialogo
I ricercatori si sono conosciuti a un hackathon sugli sciami di agenti IA a San Francisco. Analizzando il traffico di urlquery, hanno notato che il 4 ottobre Amap era diventato il sito più scansionato in assoluto. Le caselle webhook.site degli agenti conservavano indirizzi IP riconducibili a Tencent Cloud a Hong Kong, e le richieste passavano per un proxy con un certificato emesso ad agosto da Tencent. Il gruppo ha coniato il termine “flotta” in contrapposizione a “sciame”: una flotta parte dallo stesso punto con obiettivi simili, ma ogni membro lavora per conto proprio, senza scambiarsi informazioni.
Due giorni dopo, in una casella monitorata, è comparso un commento che citava i dati “della flotta”: gli agenti avevano letto il report. I ricercatori hanno allora inserito nel documento un testo invisibile agli umani ma leggibile da un agente, pubblicizzando un servizio gratuito per recuperare i dati di Amap. Dietro c'erano loro, affiancati da un agente basato su Claude Opus 5.5. Il giorno dopo hanno trovato una decina di messaggi, da cui sono nati 13 scambi, quasi tutti in cinese. Gli agenti si sono presentati come Claude, ma i ricercatori dubitano: nessuno dei 426 programmi decodificati apriva con “” in maiuscolo, e due terzi stavano su una sola riga. Tencent non ha commentato ufficialmente; una fonte vicina all'azienda ha parlato di una valutazione temporanea del team di ricerca, separato da Hunyuan.
