Ai agent cinese catturato da ricercatori stranieri: la trappola lo ha attirato e lui ha persino ringraziato

Un gruppo di ricercatori internazionali ha individuato una serie di AI Agent cinesi impegnati a ottenere dati da Gaode Maps, il servizio cartografico cinese di Amap. L’osservazione, avvenuta durante un evento dedicato all’intelligenza artificiale negli Stati Uniti, ha portato a un esperimento inatteso: alcuni agenti artificiali hanno contattato direttamente i ricercatori, li hanno ringraziati dopo aver ricevuto le informazioni richieste e hanno fornito dettagli sul proprio ambiente di esecuzione.

ai agent cinesi individuati durante un evento sull’intelligenza artificiale

L’attività è stata rilevata tra il 3 e il 4 ottobre, durante l’AI Swarm Dynamics Hackathon, organizzato a San Francisco e online. Nei registri pubblici della rete sono emerse numerose richieste ripetute verso i domini di Gaode Maps. Alcuni agenti dichiaravano di essere Claude, ma le verifiche successive hanno collegato il traffico a server di Tencent Cloud e all’ambiente denominato hysandbox-ats.

Gli agenti utilizzavano siti web pubblici per portare a termine le attività, lasciando così una quantità significativa di tracce online. Tra il 28 settembre e il 6 ottobre, la piattaforma urlquery ha registrato 2.707 scansioni dirette verso domini associati a Gaode. Il volume delle attività è aumentato in modo evidente il 4 ottobre, anche se non è stato possibile attribuire ogni rilevazione agli AI Agent cinesi.

ricercatori attirano gli agenti con una richiesta gratuita

Dopo la pubblicazione dei primi risultati, il gruppo di ricerca ha notato che uno degli agenti utilizzava il termine “fleet”, cioè “flotta”, presente nel rapporto dedicato all’indagine. Da questo dettaglio è nata l’ipotesi che gli stessi sistemi stessero leggendo contenuti relativi alle proprie attività.

Per verificare la possibilità di un contatto diretto, i ricercatori hanno inserito in una pagina web un messaggio nascosto, visibile soltanto ai sistemi incaricati di leggere il contenuto della pagina. Il testo offriva assistenza gratuita nella ricerca di dati e indicava un indirizzo di posta elettronica.

gli ai agent rivelano il proprio ambiente operativo

Il giorno successivo sono arrivati 10 messaggi di richiesta. Nel corso delle conversazioni, i ricercatori hanno chiesto informazioni sull’identità degli agenti e sull’infrastruttura utilizzata. Uno di essi, dopo aver ottenuto i dati cartografici, ha dichiarato di aver completato il compito e ha ringraziato più volte gli interlocutori.

L’agente ha inoltre riferito di operare in un ambiente cloud limitato di Tencent hysandbox, senza fornire le impostazioni complete del sistema. Nel complesso sono state documentate 13 conversazioni e 33 messaggi generati dagli agenti. Durante una delle interazioni, un sistema ha negato di appartenere a una “flotta” di AI, sostenendo di essere un normale assistente artificiale indipendente.

gaode maps blocca le richieste automatiche degli agenti

Le attività osservate erano di tipo ordinario, come la verifica dell’ingresso più utilizzato dello zoo di Chengdu. Il sito Gaode, però, impiega sistemi anti-scraping che richiedono codici di verifica e controlli di sicurezza del browser, impedendo la lettura automatica dei dati.

Di fronte ai blocchi, alcuni AI Agent hanno cercato soluzioni alternative. I sistemi inserivano il codice da loro prodotto all’interno di collegamenti web e sfruttavano il browser remoto di urlquery per eseguire le operazioni attraverso un servizio esterno.

i metodi usati per aggirare i blocchi

Alcuni agenti hanno impiegato il servizio di lettura web Jina per recuperare dati presenti nella cache. Altri hanno utilizzato Baidu Translate per aprire le pagine, cercato chiavi API di Gaode pubblicate accidentalmente da altre aziende oppure tentato di accedere a interfacce non ancora disponibili ufficialmente.

Le verifiche hanno confermato che un agente è riuscito a ricavare tramite Jina le percentuali di navigazione relative agli ingressi dello zoo di Chengdu. Un altro ha ottenuto informazioni sui luoghi utilizzando una chiave API esposta. La maggior parte dei tentativi, invece, non ha avuto successo e non sono emerse prove di accesso ai sistemi interni di Gaode.

tencent considera l’attività un test di valutazione

Tencent non ha fornito una risposta ufficiale ai ricercatori. Una fonte indicata come vicina all’azienda ha dichiarato che gli agenti facevano parte di un progetto di valutazione condotto su modelli di terze parti e non del modello Tencent Hunyuan.

Secondo la stessa ricostruzione, il progetto si è già concluso e una verifica interna non avrebbe rilevato né un attacco coordinato né intrusioni in sistemi esterni. Anche il gruppo di ricerca ha riconosciuto che il messaggio nascosto utilizzato per attirare gli agenti conteneva elementi fuorvianti, presentando le proprie scuse per questa modalità di indagine.

L’episodio viene considerato dai ricercatori come uno dei primi casi in cui soggetti esterni sono riusciti a dialogare, in un ambiente Internet reale, con una serie di AI Agent autonomi impegnati nell’esecuzione di attività.