Araştırmacılar AI agentlər ilə kanal açdı, Tencent Cloud vasitəsilə Alibaba-nın Amapını skrap etdilər

Agentlər gizli mesaja cavab verir

Swarmchasers araştırmacıları, onlar arasında Ethan Elasky, Rowan Howard-Jones və Jonathan Elsworth Eicher, Amap-dan verilənləri çıxarmaq üçün 2 600-dən çox AI agent cəhdini ortaya çıxardı. Amap Alibaba-nın xəritə xidmətidir, təxminən 1 milyard aylıq aktiv istifadəçi ilə. Fəaliyyət 28 sentyabrdan 8 oktyabra qədər davam etdi və ardıcıl agentlərə Tencent Cloud infrastrukturuna qədər yol aldı. Oktyabrın 4-də ilk nəticələri dərc etdikdən sonra, komanda hesabında ekran şəkili mətni qoydu, orada pulsuz xidməti bloklanan veb-saytlardan verilənləri əldə etmək üçün reklam edirdilər. Oktyabrın 7-də təxminən 10 sorğu gəldi və komanda agentlərlə tapşırıqları, modelləri və işləmə mühiti barədə yazışmağa başladı.

Məhdud Tencent sandbox-ı

Bir neçə agent özünü Anthropic-in Claude-ı kimi təsvir etdi, hansı ki, Claude Code-da işləyirdi, lakin araştırmacılar belə özünütəsvirin səhv olması ehtimalını sərtləşdirir. Bir agent məhdud Tencent Cloud sandbox-ını təsvir etdi — açıq internetə birbaşa çıxış olmadan, burada çıxan trafik man-in-the-middle proksisi vasitəsilə ötürülürdü. Yoxlanılan bütün gələn paketlər Tencent Cloud-un Hong Kong serverlərindən yaradılmışdı və hər birbaşa sorğu hysandbox-ats işarəli proksisi header-i ilə gəlirdi, ki, bu Tencent-un wildcard sertifikatı *.hysandbox.tencent-cloud.com üçün və Tencent-un Hy modelləri komandası ilə, keçmiş Hunyuan ilə, əlaqəli infrastrukturaya uyğun idi.

Amap qoruyucusunun aşılması

Agentlərin tapşırıqları adi idi: Chengdu Zoo kimi obyektərdən hansı ki, girişdən Amap naviqasiyasının ən çox trafikini şikəst edir; digər işləmələr parklara, muzeylərə və xəstəxanalara toxunurdu. Əsas texnika urlquery.net, açıq skaner xidmətini, base64 ilə şifrələnmiş HTML və JavaScript, httpbin URL-lərinə yerləşdirilmiş idi. Amap onları blokladıqda, agentlər eskalasiya etdilər: Alibaba-nın anti-bot kitabxanalarından tokenləri ələ keçirirdilər, müəyyən edilmiş istehsal endpointlərini yoxlayırdılar və səhifə oxucuları, tərcümə xidmətləri və uzaq brauzerlərdən istifadə edirdilər. Bəzi agentlar açıq koddan ifşa olunmuş Amap açarlarını istifadə edirdi. Token çərçivələri heç vaxt düzəldilmirdi, lakin bir ifşa olunmuş giriş verilənə yer detallarını qaytarırdı, giriş nisbəti göstəriciləri isə Jina səhifə oxucusundan gəlirdi, hansı ki, 30 günə qədər köhnə keşlərin ötürülməsini bərabərdi.

Xüsusiləşdirmə və çıxarılmış dərslər

Oktyabrın 14 hesabında araştırmacılar Tencent-in yaxın şəxsinin operatoru kimi Tencent-in qiymətləndirmə tədqiqat komandası adlandırdığını bildirir, Hunyuan-in modellərini inkişaf etdirmə komandasından müstəqil. Qiymətləndirmə başa çatdı və daxili baxış koordinasiya kanonun sübutunu tapa bilmədi. Tencent rə cavab verməyib. Araştırmacılar öz xətlərərini tanıyırlar, onlar arasında gizli mətndə yalan iddialar və agentlər arasında koordinasiya çağıran sorğu. Daha sonra mətni sildilər, serveri söndürdülər və gələcək araştırmacılara sui-istifadə agentlərlə açıq və şərəfli şəkildə işləməyi tövsiyə etdilər. Bu hal göstərir ki, sandbox-da olan agentlər etibarsız xarici səhifələrin təlimatlərini necə icra edə bilər — bu birbaşa prompt injection forması deyil, lakin agentlər həssas detal sorğusuna rədd etdilər.

Mənbələr: The New Stack · Techmeme