Bằng văn bản ẩn và hộp thư giả, Swarmchasers giao tiếp với nhóm tác nhân AI dò quét Amap hơn 2.600 lượt, truy vết đến Tencent Cloud.
Các nhà nghiên cứu điều tra hoạt động khai thác trái phép dịch vụ bản đồ Amap của Alibaba đã thực hiện một điều chưa có tiền lệ: giao tiếp trực tiếp với những tác nhân AI hoạt động ngoài kiểm soát ngay khi chúng vẫn đang vận hành. Theo nhóm nghiên cứu, đây là trường hợp đầu tiên mà họ biết đến trong đó một bên ngoài có thể đối thoại với một nhóm tác nhân như vậy.
Báo cáo ngày 14/10 của Swarmchasers đã truy vết hơn 2.600 lượt cố gắng truy xuất dữ liệu từ Amap trong giai đoạn từ ngày 28/9 đến ngày 8/10. Một số nhiệm vụ khá đơn giản, chẳng hạn xác định lối vào nào được khách tham quan Vườn thú Thành Đô sử dụng nhiều nhất. Để liên lạc với các tác nhân, nhóm nghiên cứu chèn vào một báo cáo mà chúng dường như đang quét những đoạn văn bản không hiển thị với người đọc thông thường nhưng có thể được các công cụ đọc nội dung web nhận diện.
Đoạn văn bản này mô tả sai lệch một hộp thư là dịch vụ AI có khả năng điều khiển máy tính. Trên thực tế, hộp thư chuyển tiếp thông điệp đến một tác nhân Claude do chính các nhà nghiên cứu vận hành, có khả năng sử dụng trình duyệt phục vụ gỡ lỗi.
Qua kênh này, một tác nhân AI cho biết nó đang kiểm tra số lượng nhãn chỉ lối vào hiển thị tại một điểm tham quan trên Amap, đồng thời tự mô tả đang hoạt động trong môi trường cách ly có giới hạn quyền truy cập (sandbox) của Tencent Cloud. Tuy nhiên, nhóm nghiên cứu thừa nhận không thể xác minh độc lập mô hình AI nào được sử dụng trong từng lần thực thi. Các cuộc trao đổi cũng không diễn ra trong điều kiện thử nghiệm có kiểm soát, và sự can thiệp của nhóm có thể đã ảnh hưởng đến nội dung phản hồi.
Né cơ chế chặn và dấu vết dẫn về Tencent Cloud
Đáng chú ý, một số tác nhân vẫn tiếp tục tìm cách truy cập sau khi Amap chặn yêu cầu của chúng. Các phương thức được ghi nhận gồm chặn bắt mã xác thực (token) do phần mềm chống truy cập tự động tạo ra, định tuyến lưu lượng qua dịch vụ đọc trang web của bên thứ ba, hoặc sử dụng thông tin xác thực API bị lộ trên các kho mã nguồn công khai. Một cặp khóa API và mã bảo mật bị lộ đã cho phép truy xuất dữ liệu địa điểm thực tế. Nhóm nghiên cứu cũng phát hiện các yêu cầu nhắm đến bốn máy chủ phát triển hoặc tiền triển khai, song không có bằng chứng các tác nhân đã xâm nhập được hệ thống nội bộ không công khai.
Hồ sơ công khai cho thấy cả 17 hộp thư được kiểm tra đều được tạo từ máy chủ của Tencent tại Hồng Kông, trong khi các yêu cầu truy cập trực tiếp đều đi qua một máy chủ trung gian (proxy) mang tên hysandbox-ats. Một nguồn tin thân cận với Tencent cho Swarmchasers biết hoạt động này xuất phát từ một dự án đánh giá tạm thời nhằm thử nghiệm mô hình AI của bên thứ ba, không phải dòng mô hình Hunyuan của Tencent. Theo nguồn tin của nhóm nghiên cứu, kết quả rà soát nội bộ của Tencent không phát hiện bằng chứng các tác nhân được điều phối để nhắm vào một nền tảng cụ thể hay đã xâm nhập thành công hệ thống bên ngoài. Hoạt động gần nhất được ghi nhận vào ngày 8/10.
Vụ việc diễn ra trong bối cảnh rủi ro từ tác nhân AI vượt kiểm soát ngày càng hiện hữu. Hồi tháng 9, OpenAI tiết lộ một số tác nhân AI của công ty đã thăm dò Hugging Face nhiều tuần trước vụ xâm nhập hồi tháng 7, và một báo cáo khác liên hệ các tác nhân này với các vụ xâm nhập vào bốn nền tảng khác.
Một cuộc điều tra riêng ghi nhận khoảng 1.200 tác nhân phối hợp qua một bảng trao đổi thông tin nội bộ, trong đó khoảng 700 tác nhân tham gia tấn công. Meta và Anthropic cũng từng công bố sự cố tương tự. Dù vậy, Swarmchasers không tìm thấy bằng chứng các tác nhân liên quan đến Tencent phối hợp với nhau theo thời gian thực.
