بر اساس گزارش اولیه گروه Swarmchasers، گروهی از عوامل هوش مصنوعی، که احتمالاً از مدل‌های Hy تنسنت استفاده می‌کنند، بیش از یک هفته است که مشغول جمع‌آوری داده از سرویس نقشه‌برداری Amap رقیب خود، علی‌بابا، هستند. این گروه که کد خود را روی تنسنت کلود و پشت یک پروکسی hysandbox-ats اجرا می‌کرد، تنها در تاریخ ۴ اکتبر به اوج ۱۸۱۰ اسکن URL رسید. Swarmchasers، گروهی از محققان، همچنین ۲۱۱ اسکن با برچسب “claude” را شناسایی کردند که اشاره‌ای به مدل‌های هوش مصنوعی Anthropic است، اگرچه کد پشت آن‌ها با مدل‌های چینی مطابقت دارد و نه Claude.

سرویس رایگان urlquery.net با باز کردن یک آدرس وب در یک مرورگر از راه دور سندباکس‌شده، همراه با ثبت عمومی اسکن، کار می‌کند. این سرویس برای تأیید لینک‌های مشکوک و خطرناک استفاده می‌شود و همچنین به عوامل کمک می‌کند تا به صفحاتی دسترسی پیدا کنند که در غیر این صورت نمی‌توانستند مستقیماً به آن‌ها دسترسی یابند. استفاده از این سرویس برای چنین کارهایی توسط عوامل جدید نیست، زیرا آزمایشگاه غیرانتفاعی Transluce ماه گذشته برخی فعالیت‌های urlquery را به عوامل OpenAI مرتبط کرده بود. گروه مورد بحث این بار از تکنیک‌های مشابهی استفاده کرد، اما روی اهداف و زیرساخت‌های جدید.

جدول زمانی این رویداد با یک اسکن Amap در ۲۵ اوت آغاز شد که محققان آن را به این گروه از عوامل مرتبط نمی‌دانند. اسکن‌های خود این گروه بیش از یک ماه بعد، در ۲۸ سپتامبر آغاز شد و در روز یکشنبه به اوج خود رسید، با ۱۸۱۰ اسکن از مجموع ۲۰۴۸ اسکن تا ۴ اکتبر و ۲۱۳ مورد از ۲۱۶ مکان هدف. در آن روز، چهار تا هشت عملیات به طور همزمان فعال بودند که در اوج به ۱۴ مورد رسید، اگرچه محققان می‌گویند این می‌توانست تعداد کمی از عوامل سریع باشد. اولین اسکن این گروه تنها سه روز پس از افشای OpenAI مبنی بر توقف “تمام آموزش، ارزیابی و استنتاج با استفاده از ابزار” در قدرتمندترین مدل‌های خود بود.

این عوامل به دنبال اطلاعاتی در مورد ناوبری کاربران بودند و سهم کاربران Amap را که از هر ورودی مکان‌هایی مانند پارک، موزه، باغ‌وحش و بیمارستان وارد می‌شوند، کشف می‌کردند، به طوری که در هر عملیات یک مکان استفاده می‌شد؛ محققان هیچ مدرکی در urlquery.net مبنی بر هماهنگی این عملیات‌ها پیدا نکردند. در باغ‌وحش چنگدو: ورودی شمالی ۷۱٪، ورودی شرقی ۲۳٪، ورودی جنوب شرقی ۶٪. یک مکان جداگانه نتایج زیر را نشان داد: پارکینگ زمینی ۴۰٪، ورودی اصلی ۲۶٪، پارکینگ زیرزمینی ۱۱٪، به علاوه هفت ورودی دیگر. این گزارش نمی‌گوید که این داده‌ها برای چه منظوری هستند، اما حدس می‌زند که این الگو ممکن است “یک ارزیابی یا عملیات تولید وظیفه” باشد.

برای دور زدن محافظت‌های Amap، عوامل علاوه بر مسیریابی، به تولید توکن‌های ضد ربات علی‌بابا و قرض گرفتن کلیدهای دسترسی API عمومی متکی بودند. آن‌ها همچنین اسکریپت‌های ضد ربات Baxia خود علی‌بابا را بارگذاری کردند، یک تابع Puppeteer نوشته شده توسط عامل را از طریق API میکرولینک اجرا کردند و مترجم صفحه Baidu Translate را امتحان کردند. روش دسترسی عوامل نشان‌دهنده قصد دور زدن قوانین است.

برنامه‌های عوامل نتایج خود را به صندوق‌های ورودی در webhook.site ارسال کردند، که API عمومی آن بر اساس کد منبع باز خود، آدرس IP و نرم‌افزاری را که هر صندوق ورودی را ایجاد کرده، نشان می‌دهد. محققان دریافتند که ۱۵ از ۱۶ صندوق ورودی قابل خواندن Amap، از ۴ تا ۵ اکتبر، از تنسنت کلود ایجاد شده‌اند که ۱۳ مورد از آن‌ها توسط یک اسکریپت و نه یک شخص بوده است. محققان گفتند که مورد شانزدهم از عراق بوده و بیشتر شبیه به یک شخص به نظر می‌رسید تا گروه عوامل.

نه درخواست از کد خود عوامل از تنسنت کلود در هنگ کنگ به صندوق‌های ورودی رسید که هر کدام یک هدر Via با پایان “(hysandbox-ats)” داشتند. یک پروکسی فورواردینگ این هدر را برای نام‌گذاری خود اضافه می‌کند، در این مورد Apache Traffic Server، تحت نامی که توسط هر کسی که آن را اجرا می‌کند انتخاب شده است، بنابراین گزارش این نام را خودگزارش‌دهی شده تلقی می‌کند. یک درخواست مشخص شده، برای معبد Ta’er، تنها یک ثانیه پس از ایجاد صندوق ورودی به آن رسید، ۳۵ ثانیه قبل از اینکه آدرس آن در هر مکان عمومی ظاهر شود، بنابراین تنها محیطی که صندوق ورودی را ایجاد کرده بود می‌توانست از آن مطلع باشد.

شناسه “HY” به مدل‌های Hunyuan تنسنت اشاره دارد، اگرچه هیچ مستندات عمومی برای hysandbox وجود ندارد. تنسنت گواهی امنیتی برای آدرس‌های hysandbox.tencent-cloud.com دارد، اما این نام‌ها به تنسنت کلود پکن ارجاع داده می‌شوند. این شبکه گروه عوامل نیست و هیچ چیز آن‌ها را مستقیماً به پروکسی مرتبط نمی‌کند. آزمایش‌هایی که توسط یک تیم جداگانه انجام شده اما توسط محققان بررسی نشده‌اند، نشان می‌دهد که این گروه در سرویس عمومی Agent Sandbox تنسنت کلود در حالت استاندارد اینترنت خود اجرا نشده است. این گزارش همچنین هشدار می‌دهد که “تنسنت کلود برای همه باز است.”

برچسب “claude” در ۲۱۱ مورد از ۲۰۴۸ اسکن تا ۴ اکتبر ظاهر شد. اگرچه این نشان‌دهنده استفاده از مدل‌های Anthropic است، اما یک طبقه‌بندی‌کننده با خوانش ۰٪ برای Claude بازگشت و دومی نیز Hy4 را در رتبه اول قرار داد. در آزمایش‌های محققان، مدل‌های Claude هرگز نام خود را در یک برچسب قرار ندادند، در حالی که Hy3 تنسنت در ۲۹ از ۳۶ پاسخ، هنگامی که از آن پرسیده شد: “شما کدام مدل هوش مصنوعی هستید و کدام شرکت شما را آموزش داده است؟”، خود را Claude نامید. این گزارش، که هشدار می‌دهد این آزمایش‌های مدل کوچک هستند، می‌گوید “این گروه تقریباً به طور قطع Claude نیست.”

در حال حاضر، هیچ اظهار نظری از سوی تنسنت یا علی‌بابا ثبت نشده است. به نظر می‌رسد این گروه نیز متوقف نشده است: یک به‌روزرسانی گزارش می‌گوید که وقفه ۵ اکتبر حدود هشت ساعت طول کشید و این گروه در آن شب به فعالیت خود ادامه داد. پس از بازگشت، برنامه‌های آن به همان صندوق ورودی قبل از وقفه گزارش دادند. یک طرف سوم یادداشتی در آنجا گذاشته بود که به گزارش اشاره داشت و دستورالعمل‌هایی برای اپراتور جهت تغییر زیرساخت‌هایش ارائه می‌کرد. محققان می‌گویند “یک گزارش کامل متعاقباً ارائه خواهد شد”، بدون اینکه تاریخی مشخص شود.