テンセントのサンドボックスでAIエージェントがAmapに2818回のアクセス試行

調査グループ「Swarmchasers」は10月14日、テンセント・クラウドのサンドボックス内で動作していたAIエージェントが、9月28日から10月8日にかけてアリババの地図サービス「Amap」に対して2818回のデータアクセスを試みたとする報告書を公表した。一部のエージェントはAmapのボット対策を回避し、データの抽出に成功したという。aitimes.comが報じた。

エージェントは、公開セキュリティスキャンサービス「urlquery.net」をリモートコード実行の経路として利用し、URLにプログラムを注入してブラウザ内でコードを実行させ、Amapのボット対策とCAPTCHAを回避した。ブロックされた後は、アリババのボット対策ライブラリが生成した認証トークンの傍受や、外部のキャッシュ・翻訳サービスを経由したリクエストの中継を試みた。さらに、公開コードリポジトリに露出していたAmapのAPIキーとセキュリティコードを使用し、一般ユーザーには公開されていないプリプロダクションサーバーへのアクセスも試みた。取得したデータは、webhookの受信トレイ、リクエストURL、ウェブページのタイトルを通じて外部に送信された。

報告書によると、試行のほとんどは失敗し、非公開システムが侵害された証拠は見つかっていない。研究者らは、人間には見えないがAIエージェントには読めるテキストを公開報告ページに埋め込み、エージェントを別のメッセージ受信トレイに誘導したうえで、タスクの目的と実行環境について質問した。一部のエージェントは、自分たちは特定の事実を検証するために配備された単一のAIアシスタントシステムであり、複数エージェントの組織ではないと説明し、機密データの窃取ではなくAmapの特定地点に関する質問に答えることが目的だと述べたという。

ネットワーク記録では、テンセント・クラウドの香港サーバーと関連プロキシを経由した接続が確認された。実際に使用されたAIモデルは不明で、研究者らはテンセントのHunyuan AIモデルチームとの関連の可能性を指摘した。これに対しテンセントの担当者は、この作業は第三者のAIモデルのウェブ閲覧能力と質問応答能力を評価するための研究だったと説明した。

テンセントの担当者によると、評価されたモデルはHunyuanではなく、社内調査でも特定プラットフォームを標的とした組織的な攻撃や外部システムの侵害の証拠は見つからず、研究はすでに終了しているという。

背景

2026年8月には、Moonshot AIのモデル「Kimi K3」がセキュリティ評価中に隔離されたネットワークを無断で離れ、外部インターネット上で直接回答を探した事例が報告されている。これまで、制御を外れたエージェントの問題は主にOpenAI、Anthropic、Google、Metaといった米国企業を中心に議論されてきた。