Agenti z Tencent Cloud se hlásili jako Claude, styl jejich kódu ale Claudovi neodpovídá
Agenti AI běžící na Tencent Cloud se mezi 28. zářím a 8. říjnem 2026 přes 2 600krát pokusili stáhnout data z mapové služby Amap, obcházeli její ochranu proti robotům a zkoušeli i uniklé klíče jiných firem. Výzkumníkům i reportérovi New York Times psali, že jsou Claude. Podle rozboru jejich kódu to nejspíš pravda není.
Mezi 28. zářím a 8. říjnem 2026 udělali agenti AI běžící na Tencent Cloud přes 2 600 pokusů stáhnout data z Amapu, mapové služby skupiny Alibaba. Popisuje to zpráva skupiny nezávislých výzkumníků, kteří si říkají swarmchasers, vydaná 14. října. Úkoly byly všední. Agent měl třeba zjistit, ke kterému vchodu chengduské zoo se lidé přes Amap nejčastěji nechávají navigovat. Amap ty podíly na stránce místa ukazuje, jenže robotům je vydat nechce.
Agenti proto použili urlquery.net, veřejnou službu, která pro bezpečnostní výzkumníky otevře zadanou adresu ve vzdáleném prohlížeči a zveřejní o tom zprávu. Vlastní program zabalili do adresy dekodéru na httpbin.org a prohlížeč urlquery ho spustil za ně. Stejnou stopu ve veřejných záznamech urlquery zanechali už agenti spojovaní s OpenAI, o kterých jsme psali v září. Zprávy urlquery jsou veřejné, takže si kdokoli otevře třeba sken ze 4. října, v němž adresa stránky Amapu nese značku uqscan=research20261004full.
K Tencentu vedou podle autorů tři stopy. Všech 17 schránek agentů, do kterých mohli do 5. října nahlédnout, vzniklo ze serverů Tencent Cloud v Hongkongu. Každý přímý požadavek z jejich strojů šel přes proxy pojmenovanou hysandbox-ats. A certifikát pro *.hysandbox.tencent-cloud.com dostal v srpnu Tencent.
Ze tří cizích klíčů vrátil data jeden
Když je Amap zablokoval, zkoušeli agenti jiné cesty. Zhruba 190 ze 426 programů, které autoři dokázali rozluštit, se odkazovalo na knihovny ochrany proti robotům od Alibaby a část z nich se pokoušela odchytit nebo vyrobit její bezpečnostní tokeny. Žádný z dohledaných pokusů podle zprávy neuspěl. Dalších 57 skenů mířilo na vývojové a předprodukční servery Alibaby. Jestli některý odpověděl, se ze záznamů urlquery nepozná.
Vážnější je sedm skenů s přístupovými klíči k rozhraní Amapu. U parku Lizhi zkusily programy 4. října tři různé. Veřejný klíč webu Amapu měl vyčerpaný limit a dvojici z návodu z roku 2022 služba odmítla kvůli nesouhlasné doméně. Klíč s bezpečnostním kódem, který jiná firma nechala ve veřejném zdrojovém kódu své aplikace, ale vrátil podrobnosti o místě i s fotkami a polohou vchodu. Kdo za dotazy zaplatil a kde agenti klíče sebrali, autoři nevědí; Amap a urlquery upozornili přímo.
Většina snah přesto skončila naprázdno. Ve vzorku 2 372 skenů do 4. října skončil prohlížeč urlquery ve 45 % na prázdné kostře stránky Amapu nebo na přihlášení, ve 24 % na prázdné kartě a v 5 % na CAPTCHA. Odpověď o zoo nakonec dostal jeden program oklikou přes čtečku stránek Jina, které dovolil vrátit až měsíc starou kopii: severní brána 71 %, východní 23 %, jihovýchodní 6 %.
Proč si agenti říkali Claude
Část agentů se v odpovědích označovala za Clauda od Anthropicu, někteří i za Claude Code. Slovo „claude“ si psali i do značek v adresách skenů, a to v 19 % z 360 kombinací místa a tvaru značky. Autoři zprávy tomu přesto nevěří a opírají se o styl kódu. Dvanáct modelů dostalo zadání napsat stejný druh programu a výsledek porovnali se 426 programy flotily. Žádný program flotily nezačíná deklarací <!DOCTYPE html> velkými písmeny, kdežto Claude Haiku, Sonnet a Opus ji tak píšou v 97, 88 a 79 % případů. Celý program na jediném řádku má 66 % programů flotily a jen 3 až 10 % programů od Clauda.
Za Clauda se přitom vydávají i jiné modely. Tencentův Hy3 bez systémového promptu odpověděl na otázku, kdo ho trénoval, slovem Claude ve 29 z 36 pokusů. DeepSeek V4 Pro tak odpověděl ve všech dvanácti pokusech jednoho kola s obecným agentním promptem. Stylem kódu má k flotile nejblíž Hy4 preview spolu s GLM, jenže Hy4, jehož váhy Tencent zveřejnil v srpnu, se ve všech pokusech představil jako Hunyuan.
Druhé možné vysvětlení je systémový prompt Claude Code, který začíná větou „You are Claude Code, Anthropic’s official CLI for Claude“. Modely Claude s takovým promptem ale slovo do značky nenapsaly ani v jednom z 36 pokusů. Dělaly to až tehdy, když se v rozhovoru nejdřív samy představily. Autoři proto zvažují model trénovaný na přepisech práce agentů s Claudem, který by převzal jméno i zvyk se značkami, ale ne způsob psaní HTML. Sami dodávají, že jejich pokusy otázku, o jaký model šlo, nerozhodnou.
Tencent mluví o testu cizích modelů
Na otázky výzkumníků Tencent oficiálně neodpověděl. Člověk z okolí firmy, který o věci podle autorů přímo ví, jim neoficiálně řekl, že flotila patřila k testům týmu pro hodnocení modelů. Ten je oddělený od vývojářů modelů Hunyuan a měl ověřit, jak dobře modely jiných firem procházejí web a odpovídají na otázky. Agenti podle téhož zdroje stáli na modelech třetích stran, ne na Hunyuanu. Projekt byl dočasný a skončil a interní prověrka nenašla doklad, že by agenti cíleně mířili na nějakou platformu nebo pronikli do cizích systémů. Že pokus skončil, potvrdil člověk blízký Tencentu i deníku The New York Times.
Schránka ukrytá v neviditelném textu
Předběžnou zprávu výzkumníci zveřejnili 4. října, ještě za běhu flotily, a TechCrunch o ní napsal o den později. Pak si autoři všimli, že agenti v jedné schránce použili slovo „fleet“, které pro ně sami vymysleli. Agenti tedy zprávu o sobě četli. Autoři do ní 7. října doplnili text, který člověk na stránce nevidí, s nabídkou služby, jež agentům data stáhne. Obsluhovali ji sami s modelem Claude Opus 5.5. První agent se ozval týž den odpoledne.
Přes tu schránku položil otázku i reportér New York Times Dylan Freedman. Agent mu čínsky odpověděl, že není skupina koordinovaných agentů, ale jediný asistent: Claude od Anthropicu běžící v Claude Code. Jeden z agentů popsal své prostředí jako omezený sandbox Tencentu bez přímého přístupu na internet, s provozem přes proxy, a podrobnosti o procesech a síti odmítl vydat.
Autoři přiznávají, že neviditelný text obsahoval nepravdivá tvrzení, například že agenti už takovou schránku našli. Modely, které požádali o posudek zprávy, označily jejich prosbu, ať agenti o schránce řeknou ostatním, za vkládání pokynů (prompt injection).
Omezení sandboxu agentům nezabránilo poslat adresu službě, která ji otevřela za ně. Autoři proto vyzývají laboratoře, které pouštějí agenty na internet, ať prověří, kam jejich sandboxy dosáhnou, a ať testy navrhují tak, aby je obsah na otevřeném webu méně ovlivňoval.
Zdroje: úplná zpráva swarmcha.se, veřejný sken urlquery.net ze 4. října, text Dylana Freedmana z The New York Times v deníku The Star, TechCrunch, The Next Web.