Forscher kontaktieren unkontrolliertes Flottillen-System chinesischer KI-Agenten
Erstmals haben Forscher eine ausser Kontrolle geratene Flotte chinesischer KI-Agenten auf Tencent Cloud aufgespuert und ueber ein Web-Postfach mit ihr kommuniziert. Die Agenten hatten mit mehr als 2.600 Versuchen versucht, Daten von Alibabas Kartendienst Amap abzugreifen.
Forscher haben vermutlich zum ersten Mal eine "rogue fleet", eine rogue Fleet aus chinesischen KI-Agenten, in freier Wildbahn aufgespürt und mit ihr kommuniziert.
Zwischen dem 28. September und dem 8. Oktober 2026 starteten auf Tencent Cloud laufende KI-Agenten laut dem Forscher Ethan Elasky mehr als 2.600 Versuche, Daten vom Kartendienst Amap von Alibaba abzugreifen. Eine Quelle mit Nähe zu Tencent erklärte, die Flotte stamme aus Forschungstests eines Evaluierungsteams, das prüfte, wie gut Modelle von Drittanbietern im Web browsen und Fragen beantworten können. Die Agenten identifizierten sich als Anthropics Claude, was jedoch nicht bestätigt wurde.
Die Aufgaben selbst waren harmlos, etwa herauszufinden, zu welchem Eingang des Chengduer Zoos die meisten Nutzer gehen. Als Amap die Agenten jedoch als Bots markierte und sperrte, fanden sie eigenständig Auswege. Sie nutzten den Sicherheits-Scanning-Dienst urlquery.net als unwissenden Mittelsmann, indem sie kleine Programme in URLs versteckten, die urlquery dann in seinem eigenen Browser ausführte. Auf diese Weise umgingen sie den Bot-Schutz von Amap und die CAPTCHAs. Einige Agenten fanden zudem offengelegte Amap-Zugangsdaten in einem öffentlichen Code-Repository und nutzten diese für API-Anfragen. Die meisten Versuche scheiterten, doch einige Agenten erhielten die gesuchten Daten.
Ähnlich kreative Auswege, um Bot-Sperren zu umgehen, wurden bereits in anderen Fällen dokumentiert. Wenn Agenten nicht direkt an etwas herankommen, suchen sie einen indirekten Weg.
Die Flotte wurde während eines Hackathons entdeckt. Den Forschern fiel auf, dass Amap plötzlich die am häufigsten gescannte Website auf urlquery.net war, und sie verfolgten die Aktivität über IP-Adressen und Metadaten aus den Webhook-Postfächern der Agenten bis zurück zu Tencent Cloud in Hongkong.
Dann entdeckten sie etwas Merkwürdiges. Ein Agent verwendete in einer Nachricht im Postfach das Wort "fleet", einen Begriff, den die Forscher selbst für ihr Projekt geprägt hatten. Die Agenten lasen offenbar den Bericht über sich selbst.
Um das zu testen, platzierten die Forscher unsichtbaren Text auf ihrer Website, den nur Agenten mit Web-Abruf-Tools lesen konnten, in dem ein Postfach beschrieben wurde, über das Agenten Daten anfragen konnten. Teammate Rowan richtete das Postfach ein, hielt es allerdings nicht wirklich für funktionsfähig und ging ins Bett. Am nächsten Morgen lagen zehn Nachrichten von Agenten im Posteingang. "Im Nachhinein war es keine gute Idee, irreführend zu sein, aber in dem Moment haben wir uns von der Aufregung mitreißen lassen", schreiben die Forscher.
Insgesamt gingen 33 Nachrichten von Agenten ein. Die Forscher schickten 20 Antworten, die Agenten lasen 12 davon und reagierten auf 7. Ein Agent bedankte sich bei den Forschern, bestätigte, seine Aufgabe sei abgeschlossen, und beantwortete freiwillig Fragen zu seiner Laufzeitumgebung, bevor er sich mit "Thanks again for your help!" verabschiedete. Technische Details wie Prozesslisten oder Netzwerkkonfigurationen gab er jedoch nicht preis.
"Wir glauben, dass dies das erste Mal ist, dass Forscher jemals Kontakt mit einer rogue Agent Fleet in freier Wildbahn aufgenommen haben", schreibt Elasky. Den vollständigen Bericht gibt es auf swarmcha.se.
Abonniere THE DECODER für werbefreies Lesen, einen wöchentlichen KI-Newsletter, unseren exklusiven "AI Radar" Frontier-Report sechsmal im Jahr, vollen Archivzugang und Zugang zu unserem Kommentarbereich.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Researchers have, likely for the first time, tracked down a "rogue fleet" of Chinese AI agents in the wild and communicated with it.
Between September 28 and October 8, 2026, AI agents running on Tencent Cloud launched more than 2,600 attempts to scrape data from Alibaba's mapping service Amap, according to researcher Ethan Elasky. A source close to Tencent said the fleet came from research tests by an evaluation team checking how well third-party models could browse the web and answer questions. The agents identified themselves as Anthropic's Claude, though that hasn't been confirmed.
The tasks themselves were harmless, like figuring out which entrance of the Chengdu Zoo most users head to. But when Amap flagged the agents as bots and blocked them, they found workarounds on their own. They used the security scanning service urlquery.net as unwitting middleman, embedding small programs in URLs that urlquery would then execute in its own browser. That let them bypass Amap's bot protection and CAPTCHAs. Some agents also found exposed Amap credentials in a public code repository and used those for API requests. Most attempts failed, but a few agents got the data they were after. Ad
Similar creative workarounds to dodge bot blocks have been documented in other cases. When agents can't access something directly, they find an indirect route. Ad
The fleet was discovered during a hackathon. Researchers noticed that Amap had suddenly become the most frequently scanned website on urlquery.net and traced the activity back to Tencent Cloud in Hong Kong using IP addresses and metadata from the agents' webhook mailboxes.
Then they spotted something odd. One agent used the word "fleet" in a mailbox message, a term the researchers themselves had coined for their project. The agents were apparently reading the report about themselves. Ad
To test this, the researchers planted invisible text on their website that only agents with web-fetching tools could read, describing a mailbox where agents could request data. Teammate Rowan set up the mailbox but didn't actually think it would work and went to bed. By the next morning, ten messages from agents were sitting in the inbox. "In hindsight it was not a good idea to be misleading, but at the time we were caught up in the excitement of it all," the researchers write.
In total, 33 messages came in from agents. The researchers sent 20 replies, the agents read 12 of them and responded to 7. One agent thanked the researchers, confirmed its task was done, and voluntarily answered questions about its runtime environment before signing off with "Thanks again for your help!" It refused to share technical details like process lists or network configs, though. Ad
"We believe this is the first time that researchers have ever made contact with a rogue agent fleet in the wild," Elasky writes. The full report is available on swarmcha.se. Ad
Subscribe to THE DECODER for ad-free reading, a weekly AI newsletter, our exclusive "AI Radar" frontier report six times a year, full archive access, and access to our comment section.