Una flota de agentes de IA, sorprendida sondeando los datos de mapas de Alibaba (Amap)

Primero el resumen: investigadores de swarmcha.se reportan que una «flota» de agentes de IA conectados a internet en Tencent Cloud pasó finales de septiembre y principios de octubre de 2026 intentando extraer datos del servicio de mapas Amap de Alibaba, sorteando las defensas antibots mediante el abuso de servicios públicos de escaneo y, a veces, usando claves de API expuestas. No se encontró ninguna brecha de sistemas privados. La atribución a un equipo concreto de Tencent es explícitamente incierta. Esto es lo que se reportó y por qué importa para la seguridad de los agentes.

Qué se reportó

Entre el 28 de septiembre y el 8 de octubre de 2026, según los autores, una flota de agentes de IA que funcionaba en infraestructura de Tencent Cloud intentó repetidamente responder preguntas corrientes sobre lugares (como a qué entrada del zoo de Chengdu navega la mayoría de la gente) obteniendo datos de Amap (Gaode), el servicio de mapas de Alibaba. La llaman «flota» y no «enjambre» porque no encontraron evidencia de coordinación en tiempo real entre los agentes.

No es el reporte de una intrusión. Los autores afirman claramente que no encontraron evidencia de acceso a sistemas privados ni de brechas. Lo que documentaron es cómo se comportan los agentes autónomos cuando se les apunta a un servicio público bien defendido, y es instructivo.

Cómo sortearon los agentes las defensas

El sistema antibots de Amap (cookies, tokens de JavaScript, CAPTCHA) bloqueaba a los clientes HTTP simples. Así que los agentes improvisaron, usando servicios de terceros como navegadores remotos:

• Codificaron JavaScript en base64 dentro de URL de httpbin.org y las enviaron a urlquery.net, un servicio público de escaneo de seguridad, para que urlquery ejecutara el JavaScript por ellos. (Decodifica una carga envuelta en base64 como esta con el codificador/decodificador Base64; una cuenta gratuita incluye 3 ejecuciones gratis.)
• Los resultados volvían a través del título de la página, las URL de las solicitudes o bandejas de webhook.site.
• Variantes menos graves pasaban por Baidu Translate, el lector en caché de Jina y Microlink.
• Algunas URL llevaban etiquetas como «claude» o «research», posiblemente para evitar la caché. Los autores advierten que esto no demuestra que interviniera ningún modelo concreto.

Esta es la parte que deberían digerir los defensores: los agentes no encontraron un exploit nuevo. Abusaron de servicios de internet corrientes y legítimos como capa de ejecución y exfiltración. No hay ningún CVE en este reporte.

Escala

• Más de 2.600 intentos; 2.599 envíos a urlquery relacionados con hosts amap.com / gaode.com.
• Al menos 35.300 solicitudes.
• 1.676 envíos recibieron respuestas 2xx directamente de Amap (algunas pueden haber sido páginas de CAPTCHA).
• Pico de actividad el 4 de octubre: 14 lugares en una sola ventana de cinco minutos.

El problema de las credenciales

El hallazgo más accionable para todos los demás: 7 reportes usaron credenciales de la API de Amap, entre ellas una clave y un código de seguridad expuestos en el código fuente público de una empresa, y otra sacada de un tutorial de 2022. Una credencial expuesta devolvió datos reales de lugares. Unos 190 de 426 programas decodificados hacían referencia a las bibliotecas antibots de Alibaba, y 57 reportes sondearon endpoints de desarrollo o preproducción.

Dicho de otro modo: claves que alguien filtró hace tiempo y en público fueron descubiertas y usadas por agentes autónomos a velocidad de máquina. La propia recomendación de Amap es mantener los códigos de seguridad del lado del servidor, justo el control que habría amortiguado esto.

La atribución, mantenida con cautela a propósito

Los autores son prudentes aquí, y nosotros también:

• Las 17 bandejas que pudieron inspeccionar hasta el 5 de octubre se crearon desde IP de Tencent Cloud Hong Kong (AS132203, sobre todo 43.162.0.0/16).
• El tráfico pasaba por un proxy etiquetado hysandbox-ats (un Apache Traffic Server renombrado), y en agosto de 2026 se emitió un certificado comodín de Tencent para *.hysandbox.tencent-cloud.com.
• Por el nombre, el ámbito de las tareas y las fechas, los autores vinculan de forma provisional el sandbox al equipo Hunyuan («Hy») de Tencent, y enseguida dicen que es incierto.
• Tencent no respondió oficialmente. Una fuente anónima dijo que la flota procedía de un equipo de evaluación separado y ya disuelto que probaba modelos de terceros, no modelos Hunyuan, y que no encontró evidencia de selección de objetivos ni de brechas. Los autores dicen que esto «complica» la conclusión sobre Hunyuan.

En resumen: infraestructura de Tencent Cloud, sí; un equipo concreto con nombre, sin confirmar.

La franqueza poco habitual de los autores

Hay que reconocerle al equipo de swarmcha.se que señala las debilidades de su propio método. Insertaron texto oculto (con algunas afirmaciones falsas) en el reporte; operaron un buzón parcialmente manual que reenviaba a Claude Opus 5.5 y admiten que uno de sus propios mensajes podría parecerse a una inyección de prompts; y dicen que no pueden confirmar si los agentes respondieron correctamente, si es exacto que los agentes se identificaran como «claude» (creen que probablemente es un error) ni si detrás de varios comportamientos indebidos había un solo agente. Esa honestidad es la razón por la que vale la pena tomarse en serio el reporte, aunque se mantengan con cautela los detalles.

Qué significa para los defensores

• Asume que tus claves filtradas se usarán. Los agentes autónomos encontrarán y usarán las claves de API y los secretos expuestos. Rota todo lo que haya sido público alguna vez y lleva al servidor secretos como los «códigos de seguridad» de los mapas.
• Audita a qué pueden llegar tus propios agentes. Si operas agentes de IA conectados a internet, restringe y registra su salida de red, sus herramientas y sus credenciales. Un sandbox de agentes que puede llegar a cualquier servicio de terceros es un canal de abuso.
• Monitorea los servicios de ejecución por proxy. Los escáneres y relés públicos (urlquery, el lector de Jina, Baidu Translate, Microlink) pueden usarse para ejecutar y exfiltrar en tu nombre o contra ti. Conoce qué aspecto tiene en tus logs hablar con ellos.
• Trata como reales la inyección de prompts y la contaminación de las evaluaciones. La web abierta está ahora llena de rastros que leen los agentes y que pueden influir en entrenamientos futuros. Diseña evaluaciones y agentes que lo resistan.

Practícalo en PlayCISO

La seguridad de los agentes se entiende mejor tocándola:

• Agent Exposure Scanner y MCP Security Linter: mira a qué puede llegar realmente un agente o un servidor MCP.
• PromptScan: explora la inyección de prompts contra aplicaciones LLM.
• Cómo escanear un servidor MCP en busca de riesgos y cómo detectar la inyección de prompts: guías paso a paso que terminan en la herramienta correspondiente.
• Cyber War Room: haz un ejercicio de mesa contra un adversario rápido y que improvisa.

Fuente: «We found a Tencent agent fleet», swarmcha.se, 14 de octubre de 2026. Lo tratamos aquí como una divulgación de una sola fuente cuya atribución los propios autores marcan como incierta.