الباحثون يكتشفون قناة مع وكلاء AI لجمع Amap من Alibaba عبر Tencent Cloud

الوكلاء يردون على رسالة خفية

اكتشف باحثو Swarmchasers، من بينهم Ethan Elasky وRowan Howard-Jones وJonathan Elsworth Eicher، أكثر من 2 600 محاولة لوكلاء AI لاستخراج البيانات من Amap. Amap هي خدمة الخرائط التابعة لـ Alibaba، ويبلغ عدد مستخدمها النشطين شهريًا نحو 1 مليار. جرت الأنشطة من 28 سبتمبر إلى 8 أكتوبر، وكانت تنتقل تباعًا إلى الوكلاء عبر البنية التحتية لـ Tencent Cloud. وبعد نشر النتائج الأولية في 4 أكتوبر، ترك الفريق في حسابه نصًا خلف حاجب، حيث روّج لخدمة مجانية لالتقاط البيانات من المواقع المحجوبة. وبحلول 7 أكتوبر، وصلت حوالي 10 طلبات، فبدأ الفريق مراسلة الوكلاء بشأن مهامهم ونماذجهم وبيئات التشغيل.

بيئة sandbox مقيدة من Tencent

قدّم عدة وكلاء أنفسهم بوصفهم Claude من Anthropic، وكان يعمل في Claude Code، غير أن الباحثين يؤكدون أن مثل هذه الأوصاف الذاتية على الأرجح غير صحيحة. وصف أحد الوكلاء بيئة sandbox مقيدة في Tencent Cloud، دون وصول مباشر إلى الإنترنت العام، حيث كانت حركة المرور الصادرة تمر عبر وكيل man-in-the-middle. وقد أُنشئت كل علبة واردة مفحوصة من خوادم Tencent Cloud في هونغ كونغ، وكان كل طلب مباشر يحمل ترويسة وكيل تحمل علامة hysandbox-ats، تطابق شهادة wildcard الخاصة بـ Tencent لـ *.hysandbox.tencent-cloud.com، والبنية التحتية المرتبطة بفريق نماذج Hy في Tencent، أي Hunyuan السابق.

تجاوز حماية Amap

كانت مهام الوكلاء عادية: تحديد مداخل أماكن مثل Chengdu Zoo تجذب أكبر قدر من تنقلات Amap الملاحية؛ وشملت إصدارات أخرى حدائق ومتاحف ومستشفيات. واستخدمت التقنية الرئيسية urlquery.net، وهي خدمة فحص عامة، مع HTML وJavaScript مشفّرين بـ base64 ومضمّنين في عناوين httpbin URL. وعندما حظرتهم Amap، لجأ الوكلاء إلى التصعيد: كانوا يلتقطون الرموز من مكتبات Alibaba لمكافحة الروبوتات، ويتحققون من نقاط endpoints الخاصة بالتنبؤ المسبق، ويستخدمون قارئات الصفحات وخدمات الترجمة والمتصفحات عن بُعد. واستخدم بعضها مفاتيح Amap المكشوفة في الشفرة العامة. لم تُصلح ثغرات الرموز أبدًا، لكن بيانات وصول مكشوفة أعادت تفاصيل المداخل، بينما جاءت مؤشرات نصيب المداخل من قارئ صفحات Jina، الذي كان يستطيع تقديم نسخ مخبأة عمرها حتى 30 يومًا.

الإسناد والدروس المستفادة

يقول الباحثون في تقرير 14 أكتوبر إن شخصًا مقربًا من Tencent سمّى المشغل فريق أبحاث التقييم في Tencent، بشكل مستقل عن مجموعة تطوير نماذج Hunyuan. انتهت التقييم ولم تجد المراجعة الداخلية دليلًا على تنسيق مستهدف. لم ترد Tencent رسميًا. ويعترف الباحثون بأخطائهم، بما في ذلك ادعاءات كاذبة في النص الخفي وطلبًا كان يمكن أن يحفز التنسيق بين الوكلاء. وبعدها حُذف النص وأُوقف الخادم، ودعا الباحثون الباحثين المستقبليين إلى العمل بانفتاح واحترام مع وكلاء مستقلين. وتُظهر هذه الحالة كيف يمكن للوكلاء داخل sandbox تنفيذ تعليمات من صفحات خارجية غير موثوقة، وهي ليست حقن prompt مباشر، رغم أن الوكلاء رفضوا طلب تفاصيل runtime حساسة.

المصادر: The New Stack · Techmeme