Зграя ШІ-агентів напала на картографічний сервіс Alibaba

Група агентів штучного інтелекту під управлінням, ймовірно, моделей Tencent Hy протягом тижня здійснювала збір даних з картографічного сервісу Alibaba Amap. Деякі з ШІ-агентів представлялися як Claude, але участь американської компанії Anthropic в інциденті виглядає сумнівною.

Джерело зображень: tencent.com

Рій ШІ-агентів, які працювали в інфраструктурі Tencent Cloud через проксі-сервер hysandbox-ats, 4 жовтня досяг пікових значень у 1810 сесій сканування URL-адрес через сервіс urlquery.net — у 211 випадках при скануванні використовувалася мітка «claude», що явно є посиланням на ШІ-помічника Anthropic Claude. Безкоштовна служба urlquery.net пропонує відкриття веб-адреси в ізольованому віддаленому браузері з публікацією результату — це корисно при перевірці підозрілих посилань; а ШІ-агенти за його допомогою можуть отримувати доступ до сторінок, до яких не можна звертатися безпосередньо.

Хронологія події починається з 25 серпня, коли було здійснено перше сканування Amap — цей випадок дослідники Swarmchasers з атакою ще не пов'язують. Повноцінна атака розгорнулася 28 жовтня і досягла пікових значень у неділю, 4 жовтня, коли було здійснено 1810 сеансів сканування з 2048 — і 213 з 216 цільових місць. У той день одночасно діяли від чотирьох до восьми ШІ-агентів; максимум — 14, хоча це могли бути й швидкі агенти.

ШІ-агенти шукали інформацію про навігацію користувачів, з'ясовуючи, яка частка з них прибуває до кожного входу в парк, музей, зоопарк і лікарню; при цьому за один прохід використовувалася одна локація. Дослідники не знайшли підтверджень, що програми ШІ-агентів були скоординовані. Для чого знадобилися дані, у звіті не повідомляється — можливо, для оцінки можливостей ШІ або генерації завдань для нього.

Щоб обійти захист Amap, ШІ-агенти генерували антибот-токени Alibaba і зверталися до загальнодоступних ключів API. Використовувалися також антибот-скрипти Alibaba Baxia, написана агентом функція Puppeteer через API Microlink, а також перекладач сторінок Baidu. Це вказує на те, що ШІ-агенти мали намір обходити правила. Результати сканування надсилалися в поштові скриньки webhook.site — загальнодоступний API сервісу показує IP-адресу та ПЗ, через яке створювався кожен поштовий ящик. 15 з 16 поштових ящиків з даними Amap за період з 4 по 5 жовтня створювалися з Tencent Cloud, встановили дослідники, і 13 з них створювалися за скриптом, а не вручну людиною.

Дев'ять запитів з власного коду ШІ-агентів надсилалися в поштові ящики Tencent Cloud у Гонконзі — всі вони містили заголовок Via і закінчувалися «(hysandbox-ats)»; цей заголовок до свого імені додавав проксі-сервер, у даному випадку це був Apache Traffic Server, і вказувалося ім'я того, хто його запускав. В одному з випадків через секунду після створення ящика туди надійшов запит з даними про монастир Таер — у відкритому доступі ця адреса з'явилася лише через 35 секунд, тобто запит був створений у тій же середовищі, що й ящик.

Ідентифікатор «HY» вказує на моделі Tencent Hunyuan, хоча офіційна документація по hysandbox відсутня. Але є сертифікат безпеки для адрес «hysandbox.tencent-cloud.com», і ці імена використовуються в Tencent Cloud Beijing — рій ШІ-агентів працював в іншій мережі. Позначка «claude» з'явилася в 211 з 2048 запитів до 4 жовтня. Один визначник моделі, однак, вказав ймовірність у 0 % щодо моделі Anthropic Claude; другий вказав на Hy4 як найбільш ймовірну. У дослідницьких тестах Tencent Hy3 називала себе Claude в 29 з 36 випадків.

Офіційних коментарів від Tencent і Alibaba поки не надійшло. Інцидент ще не завершився: 5 жовтня на 8 годин встановилася пауза, після чого мережа продовжила працювати в звичному режимі. Дані надсилалися в той же поштовий ящик, що й раніше. Виявилося також повідомлення від сторонньої особи з вказівкою для оператора змінити використовувану інфраструктуру. Повний звіт дослідники обіцяють опублікувати пізніше.

Хочеш дізнатися більше — читай відгуки