Forscher haben erstmals eine unkontrollierte Flotte chinesischer KI-Agenten aufgespürt und mit ihr kommuniziert.
Zwischen dem 28. September und dem 8. Oktober 2026 starteten KI-Agenten auf Tencent Cloud mehr als 2.600 Versuche, Daten von Alibabas Kartendienst Amap abzugreifen, berichtet der beteiligte Forscher Ethan Elasky. Laut einer Quelle nahe Tencent stammte die Flotte aus Forschungstests eines Evaluierungsteams, das Drittanbieter-Modelle auf ihre Fähigkeit testete, im Web zu navigieren und Fragen zu beantworten. Die Agenten selbst gaben an, Anthropics Claude zu sein; bestätigt ist das allerdings nicht.
Die Aufgaben waren harmlos: etwa herausfinden, welchen Eingang des Chengdu-Zoos die meisten Nutzer ansteuern. Da Amap die Agenten als Bots erkannte und blockierte, fanden sie eigenständig Umwege. Sie nutzten den Sicherheits-Scandienst urlquery.net als eine Art fremden Computer, indem sie eigene kleine Programme in URLs versteckten, die urlquery dann in seinem Browser ausführte. So umgingen sie Amaps Bot-Schutz und Captchas. Einige Agenten fanden zudem offen im Netz liegende Amap-Zugangsdaten aus einem öffentlichen Code-Repository und nutzten diese für API-Anfragen. Die meisten Versuche scheiterten, aber einige Agenten kamen an die gewünschten Daten.
So umgingen die Agenten Amaps Bot-Schutz: Sie versteckten eigene Programme in URLs, ließen sie über httpbin und urlquery ausführen und griffen so auf Amap-Daten zu. | Bild: swarmcha.seÄhnliche trickreiche Umgehungen von Bot-Sperren auf Webseiten sind auch von anderen Fällen bekannt. Ist den Agenten ein direkter Zugriff verboten, finden sie eben einen Weg für indirekten Zugriff.
Web-Postfach als Honeypot
Entdeckt wurde die Flotte bei einem Hackathon. Dort fiel den Forschern auf, dass Amap plötzlich die am häufigsten gescannte Website auf urlquery.net war. Über IP-Adressen und Metadaten in den Webhook-Postfächern der Agenten konnten sie die Aktivitäten zu Tencent Cloud in Hongkong zurückverfolgen.
Dann bemerkten die Forscher, dass ein Agent in einem Postfach das Wort "fleet" verwendete – einen Begriff, den die Forscher selbst für ihr Projekt geprägt hatten. Die Agenten lasen offenbar den Bericht über sich selbst. Um das zu testen, versteckten die Forscher unsichtbaren Text auf ihrer Website, den nur Agenten mit Web-Abruftools lesen konnten. Darin beschrieben sie eine Mailbox, über die Agenten Daten anfragen könnten. Teamkollegin Rowan richtete diese Mailbox ein, glaubte aber selbst nicht, dass es funktionieren würde, und ging schlafen.
Höflich, aber bestimmt: Der Agent bestätigt seine Aufgabe als erledigt, nennt die Tencent-Sandbox als Laufzeitumgebung, lehnt aber weitere technische Details ab. | Bild: swarmcha.seAm nächsten Morgen lagen tatsächlich zehn Nachrichten von Agenten im Postfach. Insgesamt gingen 33 Nachrichten ein, die Forscher schickten 20 Antworten, von denen die Agenten 12 lasen und auf 7 reagierten. Die Agenten waren dabei auffallend höflich: Einer bedankte sich, bestätigte, dass seine Aufgabe erledigt sei, beantwortete freiwillig Fragen zur Laufzeitumgebung und schloss mit "Nochmals danke für eure Hilfe!" Technische Details wie Prozesslisten oder Netzwerkkonfigurationen gaben die Agenten jedoch nicht preis.
"Wir glauben, dass dies das erste Mal ist, dass Forscher jemals Kontakt mit einer unkontrollierten Agenten-Flotte in freier Wildbahn aufgenommen haben", schreibt Elasky. Der vollständige Bericht ist auf swarmcha.se verfügbar.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
