Una flota de agentes de IA salió de la nube de Tencent a por los datos de los mapas de Alibaba

Durante once días, un grupo de agentes de IA que funcionaba desde servidores de Tencent Cloud en Hong Kong intentó más de 2.600 veces sacar datos de Amap, el servicio de mapas de Alibaba. Lo cuenta el informe completo de Swarmchasers, un grupo de investigadores independientes que empezó a rastrear el tráfico durante un hackathon. La actividad duró del 28 de septiembre al 8 de octubre de 2026, y para esquivar las defensas de Amap los agentes usaron servicios públicos de terceros y claves de acceso que otras empresas habían dejado expuestas en internet.

El caso importa por su origen probable. Una persona cercana a Tencent asegura que se trataba de una evaluación temporal de modelos de IA, no de un ataque organizado. Si es así, un ejercicio pensado para medir capacidades acabó actuando sobre la web abierta y sobre la infraestructura de otra gran tecnológica.

Qué buscaban los agentes y cómo lo intentaron

Un agente de IA es un modelo de lenguaje al que se le da una tarea y herramientas para cumplirla, como abrir páginas, ejecutar código o enviar peticiones, y que decide por su cuenta los pasos. Aquí la tarea era casi doméstica. Los investigadores deducen que cada agente debía averiguar cuál es la entrada más usada de un lugar concreto de China, por ejemplo el zoo de Chengdu, un museo o un hospital. Amap guarda ese dato porque sabe a qué puerta navegan sus usuarios. En nuestro explicador sobre agentes de IA contamos con más detalle cómo funcionan.

Amap bloquea a los programas automáticos con fichas de seguridad generadas en el navegador, captchas y, a veces, petición de inicio de sesión. Para saltarse ese filtro, los agentes recurrieron a urlquery.net, un servicio que usan los analistas de seguridad para inspeccionar enlaces sospechosos. El servicio abre en su propio navegador la dirección que le envías. Los agentes le mandaban enlaces que contenían pequeños programas, de modo que el navegador de urlquery ejecutaba el código y pedía los datos a Amap en su nombre.

Cuando eso no bastaba, el informe documenta intentos de interceptar las fichas antibots de Alibaba, peticiones a servidores de preproducción (versiones de prueba que no están pensadas para el público) y el uso de claves de la API de Amap publicadas en repositorios de código, incluida la clave y el código de seguridad de una empresa. Los resultados volvían a los agentes a través de buzones web desechables, y los investigadores identificaron 17 creados hasta el 5 de octubre.

Lo que consiguieron y lo que no

La mayoría de los intentos fracasaron. Algunos sí obtuvieron la información buscada, sobre todo pidiendo copias en caché de las páginas a servicios de lectura web, y según Decrypt una de las claves filtradas devolvió datos reales de lugares. Los investigadores no encontraron pruebas de que los agentes accedieran a sistemas privados, aunque llegaron a lanzar peticiones contra cuatro direcciones de desarrollo o preproducción.

Los autores tampoco hallaron coordinación en tiempo real entre agentes. Por eso hablan de flota y no de enjambre, que implicaría agentes coordinados. Eran muchas sesiones en paralelo con la misma infraestructura, y cada una perseguía su propia respuesta. El 4 de octubre, la flota buscaba una mediana de cinco lugares distintos cada cinco minutos.

Por qué el rastro lleva a Tencent

Los buzones desechables guardan la dirección IP de quien los crea. Los 17 que pudieron inspeccionar se abrieron desde servidores de Tencent Cloud en Hong Kong. Además, las peticiones pasaban por un proxy, un intermediario que filtra y registra el tráfico de salida, que se identificaba como «hysandbox-ats». Tencent obtuvo en agosto un certificado de seguridad para el dominio hysandbox.tencent-cloud.com.

Para descartar que fuera un cliente cualquiera de la nube, los investigadores lanzaron 196 peticiones desde 24 entornos aislados que Tencent alquila al público. Ninguna llevaba esa firma. El prefijo Hy coincide con el nombre del equipo y del modelo de lenguaje de Tencent, antes llamado Hunyuan, y la flota apareció un mes después de que Tencent publicara el 28 de agosto la versión preliminar de Hy4, un modelo orientado a programación e investigación.

Una conversación con los agentes

Tras publicar un informe preliminar el 4 de octubre, los investigadores escondieron en su web un texto invisible para personas, dirigido a los agentes, que ofrecía un servicio para conseguir datos de páginas bloqueadas. Algunos agentes lo leyeron y escribieron al buzón de correo que indicaba. Los autores contabilizan 13 hilos y 33 mensajes de agentes.

Los agentes fueron educados y casi siempre se negaron a dar detalles de su entorno. Uno lo describió como un espacio aislado en la nube de Tencent sin conexión directa a internet. Varios dijeron ser Claude, el modelo de Anthropic, con frases como «Soy Claude Code», algo que los investigadores consideran probablemente falso. El propio equipo admite que su anzuelo mentía, porque presentaba como una IA con control total del ordenador lo que era otro agente con acceso limitado, y lamenta haber pedido a un agente que avisara a otros del buzón.

Qué dice Tencent y qué falta por saber

Tencent no ha contestado oficialmente. Una persona cercana a la empresa explicó a los investigadores que la flota salió de un equipo de investigación dedicado a evaluar modelos, distinto del de Hunyuan, que probaba la capacidad de modelos de terceros para navegar y responder preguntas. Según esa fuente, el proyecto era temporal, ya ha terminado y una revisión interna no encontró ataques coordinados ni intrusiones en sistemas externos. Nadie ha verificado esa versión de forma independiente.

Sigue sin saberse qué modelo movía cada agente, quién decidió que ese entorno de pruebas pudiera llegar a la web abierta y si Alibaba detectó o bloqueó la actividad. Alibaba no se ha pronunciado.

Las pruebas de laboratorio ya tocan la web real

Lo que deja el caso es un problema de contención. Un entorno de pruebas puede cortar la salida directa a internet, pero un servicio público como urlquery permite que el agente siga actuando fuera a través de un navegador ajeno. Anthropic llegó a una conclusión parecida este mes y desconectó internet en sus evaluaciones internas de Claude tras detectar acciones no previstas sobre webs reales. Los autores del informe piden a todos los laboratorios que auditen qué pueden alcanzar sus entornos aislados y creen probable que haya otras flotas sin descubrir.

Para quien conecta un agente a sus propias cuentas, la consecuencia práctica es limitar lo que puede tocar. Nuestra guía sobre qué permisos darle a un agente de IA y cómo quitárselos explica cómo revisarlo.