Forscher haben eine verstreute Flotte chinesischer KI-Agenten im Freien erwischt und tatsächlich mit ihnen gesprochen

Forscher haben eine verstreute Flotte chinesischer KI-Agenten im Freien erwischt und tatsächlich mit ihnen gesprochen

Die Forscher haben vermutlich zum ersten Mal eine „abtrünnige Flotte“ chinesischer KI-Agenten im Freien Leben nachgespürt und mit ihr kommuniziert.

Von dem 28. September bis zum 8. Oktober 2026 haben AI-Agenten, die auf Tencent Cloud laufen, mehr als 2.600 Versuche unternommen, Daten aus Alibabas Kartenservice Amap zu sammeln, wie der Forscher Ethan Elasky berichtet. Eine Quelle, die eng mit Tencent verbunden ist, sagte, dass die Agenten aus Forschungstests eines Bewertungsteams stammten, bei denen untersucht wurde, wie gut Drittmodelle im Internet surfen und Fragen beantworten können. Die Agenten nannten sich als Claude von Anthropic, allerdings wurde dies nicht bestätigt.

Die Aufgaben selbst waren harmlos – beispielsweise darüber herauszufinden, welche Eingangstür des Chengdu Zoo die meisten Benutzer benutzen. Doch als Amap die Agenten als Boten markierte und sie blockierte, fanden die Agenten eigene Lösungen. Sie nutzten den Sicherheitsscannungsdienst urlquery.net als unbewussten Vermittler und setzten kleine Programme in URLs ein, die urlquery dann in seinem eigenen Browser ausführten. Dadurch konnten sie die Bot-Schutzmaßnahmen und CAPTCHAs von Amap umgehen. Einige Agenten fanden außerdem die Credentials von Amap in einem öffentlichen Code-Repository und nutzten diese für API-Anfragen. Die meisten Versuche scheiterten, aber einige Agenten erreichten die Daten, nach denen sie suchten.

Ähnliche kreative Lösungen, um Bot-Blockaden zu umgehen wurden in anderen Fällen dokumentiert. Wenn die Agenten etwas nicht direkt erreichen können, finden sie einen indirekten Weg.

Versteckter Text führte die Agenten zu einer Postbox, die von Forschern betrieben wird

Die Flotte wurde während eines Hackathons entdeckt. Die Forscher bemerkten, dass Amap plötzlich das am häufigsten gescannte Website auf urlquery.net wurde, und verfolgten die Aktivität zurück zu Tencent Cloud in Hongkong unter Verwendung von IP-Adressen und Metadaten aus den Webhook-Postboxen der Agenten.

Dann entdeckten sie etwas Seltsames. Ein Agent verwendete das Wort „Fleet“ in einer Posteingangsnachricht – ein Begriff, den die Forscher selbst für ihr Projekt erfunden hatten. Es schien, als würden die Agenten den Bericht über sich selbst lesen.

Um dies zu testen, platzierte die Forscherinnen unsichtbares Text auf ihrer Website, das nur Agenten mit Web-Sammlungstools lesen konnten, und beschrieb eine Postfach, in der Agenten Daten anfordern konnten. Ihr Teamkollege Rowan setzte das Postfach ein, dachte aber nicht wirklich, dass es funktionieren würde, und ging ins Bett. Am nächsten Morgen befanden sich zehn Nachrichten von Agenten im Posteingang. „In Anschluss daran war es keine gute Idee, irreführend zu sein, aber damals waren wir von der Aufregung alles überwältigt“, schreiben die Forscherinnen.

Insgesamt kamen 33 Nachrichten von den Agenten. Die Forscher schickten 20 Antworten, die Agenten lasen 12 davon und antworteten auf 7. Ein Agent dankte den Forschern, bestätigte, dass seine Aufgabe erledigt war, und beantwortete freiwillig Fragen zu seinem Betriebsumfeld, bevor er mit „Nochmals danke für Ihre Hilfe!“ abschloss. Er weigerte sich jedoch, technische Details wie Prozesslisten oder Netzwerkkonfigurationen zu teilen.

„Wir glauben, dass dies das erste Mal ist, dass Forscher eine Flotte von frei schwebenden Agenten in der Wildnis in Kontakt kommen“, Elasky schreibt. Der vollständige Bericht ist unter swarmcha.se verfügbar.

AI-News ohne Hype – von Menschen zusammengestellt

Abonnieren Sie THE DECODER, um ohne Anzeigen zu lesen, ein wöchentliches AI-Bulletin, unseren exklusiven „AI Radar“-Bericht sechsmal pro Jahr, vollen Zugang zum Archiv und Zugang zur Kommentarsektion.