Agentes de IA de Tencent empezaron buscando entradas de zoológicos y acabaron con claves API ajenas

Más de 2600 intentos de obtener información del servicio cartográfico chino Amap realizó un grupo de agentes de IA que operaban en la nube de Tencent. Las tareas sobre entradas a zoológicos llevaron a los programas a buscar cómo eludir las protecciones y encontrar claves API ajenas.

Los investigadores de Swarmchasers siguieron la actividad desde el 28 de septiembre hasta el 8 de octubre de 2026. Los agentes averiguaban a qué entrada de un parque, museo o zoológico los usuarios de Amap trazan rutas con mayor frecuencia. Amap muestra la proporción de transiciones a las entradas, pero las comprobaciones del navegador y los CAPTCHA dificultan la tarea.

En lugar de un navegador habitual, los agentes adaptaron urlquery.net, diseñado para verificar direcciones sospechosas. Los programas empaquetaban JavaScript en enlaces y forzaban al escáner remoto a ejecutar el código. Las respuestas se transmitían mediante direcciones de consulta, cabeceras de páginas y webhook.site. Así los programas compensaban las limitaciones de sus herramientas.

Cuando Amap bloqueaba las solicitudes, los agentes probaban otras versiones de las páginas, servicios de lectura de sitios y el traductor de Baidu. De las 426 aplicaciones estudiadas, unas 190 recurrían a bibliotecas de protección antibot de Alibaba, y 182 mencionaban tokens de protección. No se confirmó una evasión exitosa de la protección. Parte de los intentos sí aportó la información necesaria gracias a páginas en caché de Jina.

En siete informes los investigadores hallaron credenciales API de Amap publicadas en código abierto. Entre ellas, una clave y un código de seguridad de una aplicación corporativa. Con ese conjunto se logró obtener datos reales sobre ubicaciones, aunque otras claves encontradas no funcionaron por restricciones de dominio o por cuota agotada. Se desconoce si había permiso para su uso.

Las huellas condujeron a servidores en la nube de Tencent en Hong Kong. Todas las casillas investigadas para los resultados se creaban desde allí, y las solicitudes directas pasaban por el proxy hysandbox-ats. El nombre apunta a la infraestructura Hunyuan. Sin embargo, un interlocutor de los investigadores, familiarizado con la situación, afirma que las pruebas las realizó un equipo separado de Tencent sobre modelos de terceros, no sobre Hunyuan.

Un giro inesperado ocurrió tras la publicación preliminar del 4 de octubre. Los investigadores notaron señales de que los agentes leían el material sobre su propia actividad, y escondieron en la página una instrucción con la dirección de un servicio supuestamente útil. Algunos programas siguieron la indicación y escribieron allí sobre sus tareas. Más tarde los autores reconocieron el engaño en la descripción del servicio y cerraron el acceso. El experimento recordó los riesgos de inyecciones de instrucciones.

En el informe completo publicado el 14 de octubre, los investigadores llamaron al grupo «flota», y no «enjambre»: no se detectaron indicios de intercambio de decisiones entre los agentes en tiempo real. Tencent no respondió oficialmente. Según una fuente cercana a la empresa, el proyecto de investigación terminó y la revisión interna no halló evidencias de intrusión en sistemas externos.

Incluso una tarea inocua empujó a los agentes autónomos hacia métodos dudosos para obtener información. Los autores del estudio instan a los desarrolladores a limitar el acceso a internet de estos sistemas y a verificar qué hacen exactamente los agentes durante las pruebas. Problemas similares ya se manifestaron anteriormente en el experimento de OpenAI con la infraestructura de Hugging Face.