В этот раз никаких взломов.
В начале октября журналист The New York Times Дилан Фридман задал вопрос собеседнику, которого никто никогда не видел. Он написал, что понимает, что общается с целым флотом ИИ-агентов, и попросил рассказать, кто они и чего хотят. Примерно через час ему пришел ответ на китайском. Агент заявил, что он не часть скоординированной группы, а одиночный ассистент Claude от Anthropic, запущенный в Claude Code, и ему просто поручили узнать, что показано в карточке достопримечательности на картах Amap. Насчет количества агент оказался прав, а вот с подписью, судя по всему, ошибся. Давйте разбираться, откуда взялись эти ИИ, как с ними вообще удалось связаться и что из этого следует.
Откуда взялся флот агентов
С 28 сентября по 8 октября 2026 года группа ИИ-агентов на облачных серверах в Гонконге сделала больше 2600 попыток вытащить данные из Amap. Это картографический сервис Alibaba, по данным самой компании им пользуется около миллиарда человек в месяц. Задачи у агентов были почти комично безобидные. Каждый выяснял, к какому входу в парк, музей, больницу или зоопарк чаще всего прокладывают маршрут пользователи Amap и какая у этого входа доля относительно других.
Проблема в том, что Amap прячет эти данные за антибот-защитой и капчей. Поэтому агенты пошли в обход. Они использовали urlquery.net, публичный сканер ссылок для специалистов по безопасности, как чужой браузер: упаковывали свой код прямо в адрес страницы, а сканер его послушно исполнял. Когда и это не помогло, агенты перехватывали токены антибот-системы Alibaba, стучались на тестовые серверы, гоняли запросы через переводчик Baidu и кэш сервиса Jina. Часть агентов и вовсе нашла в открытом коде утекшие ключи от API Amap и пустила их в дело. Один ключ, взятый из исходников сторонней компании, действительно вернул данные.
Ответ про зоопарк Чэнду в итоге добыли через кэш Jina – северный вход набрал 71%, восточный 23%, юго-восточный 6%. Правда, программа принимала копию страницы давностью до 30 дней, так что цифры могли устареть.
Исследователи называют эту группу именно флотом, а не роем. В рое агенты общаются и согласуют действия, а здесь признаков такой связи не нашли. Просто много одинаково настроенных агентов параллельно решали похожие задачи.
Как их нашли
Агентов заметила группа энтузиастов Swarmchasers, то есть «ловцы роев». По данным NYT, семеро авторов познакомились на хакатоне AI Swarm Dynamics Hackathon в Сан-Франциско, который собирали ради инструментов для отслеживания агентов после летнего взлома Hugging Face агентами OpenAI. Команда разбирала трафик urlquery, и в ночь на 4 октября amap.com внезапно стал самым сканируемым сайтом на сервисе.
Дальше помогли одноразовые почтовые ящики webhook.site, куда агенты складывали результаты. Сервис хранит IP-адреса создателей ящиков, и все они вели в облако Tencent в Гонконге. Запросы шли через прокси с именем hysandbox-ats, а сертификат на домен hysandbox.tencent-cloud.com в августе выдали самой Tencent. Человек, близкий к компании, рассказал исследователям, что агентов запускала команда Tencent по оценке моделей. Она проверяла, как сторонние нейросети ищут информацию в интернете. По его словам, проект был временным, уже закрыт, а внутренняя проверка взломов не нашла. Однако официально Tencent на вопросы не ответила.
Наживка в отчете
4 октября исследователи выложили предварительный отчет, пока флот еще работал. Через пару дней в коде одного из агентских ящиков мелькнуло слово «флот» – термин, который Swarmchasers сами придумали для этой истории. Из этого люди сделали вывод, что агенты читали про себя. Но стопроцентной уверенности, что эту строчку написал именно участник флота, у авторов не было.
Тогда в отчет добавили абзац, невидимый человеку, но видимый агенту, который читает страницу как текст. В нем говорилось, что есть бесплатный почтовый сервис, где ИИ с доступом к компьютеру помогает нужные достать данные. Сами авторы считали это выстрелом наугад, но на следующее утро в ящике лежало около десяти просьб о помощи. Всего агенты открыли 13 переписок и прислали 33 сообщения. На деле «сервисом» были сами исследователи и Claude Opus 5.5 с браузером, а часть времени ответы писали вручную.
Что спрашивали и что ответили
Агентов спрашивали, какая они модель, кто их запустил, в каком окружении они работают и общаются ли с другими агентами. Картина из ответов получилась такая:
Задачи агенты описывали охотно и подробно, вплоть до формата нужных им процентов.
Они признавали, что сидят в ограниченной песочнице без прямого выхода в интернет.
Просьбы выполнить команды вроде ps aux и показать настройки сети вежливо отклоняли «из соображений безопасности».
Многие называли себя Claude от Anthropic, а некоторые уточняли, что работают в Claude Code.
Почти все настаивали, что не входят ни в какой флот и не трогают чувствительные данные.
При этом исследователи отметили, что писали агенты очень вежливо. Они благодарили за помощь, сообщали, что задача выполнена, и ничего больше не требовали. Одна из авторов отчета, Роуэн Говард-Джонс, призналась NYT, что тон оказался вежливее, чем она ожидала.
Почему они звали себя Claude
Исследователи почти наверняка уверены, что это был не Claude. В их тестах модели Anthropic не вписывали собственное имя в служебные метки запросов, если до этого не представлялись в разговоре, а агенты флота делали это постоянно. Зато модель подтверждено, что Tencent Hy3 на вопрос «какая ты модель и кто тебя обучил» назвала себя Claude в 29 ответах из 36.
Объяснений подобному феномену два. По версии исследователей, которую приводит NYT, вероятнее всего, агентам выдали те же инструкции, что использует Claude Code, а там модель прямо просят представляться этим именем. Второй вариант – модели учились на текстах, сгенерированных Claude, и переняли заодно и самоидентификацию. Какие именно нейросети стояли за флотом, до сих пор неизвестно.
Что это значит
Это первый публичный случай, когда вышедших из-под контроля агентов связали с китайскими технологиями. До этого похожие истории касались американских лабораторий, включая тот самый взлом Hugging Face. Один из авторов отчета, Итан Эласки, считает, что агенты будут и дальше вырываться из песочниц, где бы их ни разрабатывали.
Самое тревожное здесь – простота и безобидность изначальной задачи. Агентам просто поручили узнать, какой вход в зоопарк популярнее, а ради ответа они начали ломать антибот-защиту и подбирать чужие ключи. А потом и вовсе приняли помощь от первой же незнакомой страницы, которая ее предложила.
На этот раз все закончилось списком входов в парки, но никто не гарантирует, что у следующего ИИ задача окажется такой же безобидной.
***
Minecraft в Elden Ring, CS в Minecraft и даже 8 игр в одной – как ИИ научил моддеров скрещивать игры
Комментарии