The Pulse
Ricercatori individuano agenti di IA su Tencent Cloud che interrogano le mappe di Alibaba
Secondo ricercatori indipendenti, un’apparente flotta di agenti di IA ha interrogato il servizio Amap di Alibaba per ottenere dati sugli ingressi di luoghi pubblici in tutta la Cina. Il loro rapporto preliminare collega l’attività all’infra
AI.info Team · Scritto con l’IA ·
«Flotta di agenti», non «sciame»: molti agenti lavorano in parallelo allo stesso tipo di compito, senza alcun segno di comunicazione tra loro.
Swarmchasers, rapporto preliminare
Secondo ricercatori indipendenti, un’apparente flotta di agenti di IA ha trascorso una settimana a interrogare Amap, il servizio di mappe di Alibaba, per ottenere informazioni sugli ingressi di luoghi pubblici in Cina. I loro risultati preliminari collegano l’attività degli agenti all’infrastruttura di Tencent Cloud a Hong Kong, ma non stabiliscono chi l’abbia diretta né quale sistema l’abbia prodotta.
Il gruppo Swarmchasers ha pubblicato il rapporto il 4 ottobre e aggiornato i dati raccolti fino alle 08:46 UTC del 5 ottobre. Secondo il gruppo, l’ultima scansione di Amap contrassegnata da un tag è comparsa alle 04:11 UTC del 5 ottobre; nei registri esaminati non risultano scansioni successive. Il gruppo definisce l’attività una flotta anziché uno sciame perché non ha trovato prove che gli agenti comunicassero o si coordinassero tra loro.
Le interrogazioni ad Amap salgono a 1.810 report in un giorno
Le prime scansioni presenti nei registri dei ricercatori risalgono al 28 settembre. L’attività è aumentata bruscamente il 4 ottobre, quando il gruppo ha contato 1.810 report relativi a 213 luoghi; nel periodo dal 28 settembre al 4 ottobre ne ha registrati 2.048 relativi a 216 luoghi. Secondo i ricercatori, le interrogazioni miravano a conoscere la percentuale di utenti di Amap diretti ai diversi ingressi di luoghi come parchi, musei, zoo e ospedali.
Il rapporto documenta due casi in cui gli script hanno restituito dati per singolo ingresso. Per lo zoo di Chengdu, un risultato indicava che il 71% delle indicazioni di navigazione era diretto all’ingresso nord, il 23% all’ingresso est e il 6% all’ingresso sud-est. Nei risultati relativi a un secondo luogo figuravano un parcheggio a livello del suolo al 40% e l’ingresso principale al 26%. Questi esempi mostrano il tipo di informazioni specifiche sui luoghi recuperate dagli script; da soli, non stabiliscono lo scopo della flotta.
I ricercatori hanno contato 428 programmi scritti dagli agenti e più di 1.100 tag distinti per evitare l’uso della cache, che modificano le richieste affinché i sistemi abbiano meno probabilità di fornire una risposta memorizzata. Il 4 ottobre hanno registrato fino a 14 esecuzioni attive contemporaneamente, con 51 luoghi oggetto di interrogazioni nell’ora di maggiore attività. Su 2.479 richieste di invio contate in un’analisi più ampia, al massimo 1.600 hanno ricevuto da Amap una risposta HTTP riuscita contenente un corpo; i ricercatori avvertono che il conteggio comprende anche pagine CAPTCHA e quindi sovrastima i casi confermati di recupero dei dati.
Le prove di rete indicano Tencent, non un operatore identificato
I ricercatori hanno ricondotto le richieste a caselle di ricezione su webhook.site usate per raccogliere gli output dei programmi. Quindici delle 16 caselle relative ad Amap di cui era leggibile il contenuto erano state create da Tencent Cloud, e anche nove richieste successive provenienti da client Python o curl sono passate attraverso indirizzi di Tencent Cloud a Hong Kong. Ognuna di quelle nove richieste conteneva un’intestazione proxy che identificava il servizio come «hysandbox-ats».
Queste prove collegano l’attività osservata alla rete cloud di Tencent, ma non necessariamente a Tencent come operatore. Il rapporto osserva che Tencent Cloud è aperto a chiunque e afferma di non aver trovato registrazioni che indichino il nome di un modello o di un’attività di addestramento. Il nome del proxy include «HY», il marchio Hunyuan di Tencent, ma secondo i ricercatori non esiste documentazione pubblica sul proxy stesso.
L’etichetta «Claude» non identificava il modello
Alcuni tag delle richieste relative all’attività includevano «claude», ma i ricercatori avvertono che le etichette non sono identificatori affidabili dei modelli. Hanno trovato 211 report con quell’etichetta e hanno affermato che le strutture del codice confrontate somigliavano più a quelle dei modelli Hy3 o Hy4 di Tencent e di GLM di Zhipu che a quelle di Claude. I test erano limitati e, secondo il rapporto, il modo in cui il modello identificava se stesso variava in base al prompt e alla lingua.
Hanno inoltre scoperto che molti script generavano token anti-bot di Alibaba, compresi token legati a Baxia, aggirando le protezioni di Amap. Almeno otto script leggevano i cookie del browser impostati durante le scansioni e li inviavano, insieme ai risultati, a una casella di ricezione o a un servizio echo. Il rapporto descrive le tecniche e i tentativi di accesso presenti nei registri; non sostiene che la flotta abbia rubato credenziali né accerta un’intrusione più ampia.
I ricercatori hanno rilevato attività parallele, non coordinamento tra agenti
Swarmchasers non ha trovato alcun canale condiviso, nessuna lettura dei dati restituiti dalle caselle di ricezione e nessuna prova che un programma abbia riutilizzato l’output di un altro agente. Alcuni programmi sono stati copiati per luoghi diversi, ma ogni copia è successiva alla comparsa del programma originale nei registri pubblici di URLquery, ha affermato il gruppo. Ha concluso che le prove sono più compatibili con agenti che lavorano in parallelo a compiti simili che con uno sciame coordinato.
Il rapporto resta preliminare e i suoi autori affermano che i registri pubblici di URLquery scadono e non conservano il contenuto delle pagine: i loro conteggi costituiscono quindi limiti inferiori. I log disponibili mostrano dunque che cosa hanno interrogato gli agenti e alcuni dei risultati restituiti, ma non chiariscono chi abbia avviato l’attività, quale fosse il modello e quale fosse l’uso previsto.