Исследователи выследили в интернете самовольный рой китайских ИИ-агентов и даже поговорили с ним

Задачи агентов были безобидными: например, выяснить, к какому входу в зоопарк Чэнду чаще направляются посетители. Но когда Amap распознал агентов как ботов и заблокировал их, те самостоятельно нашли обходные пути. Они использовали сервис проверки безопасности urlquery.net как невольного посредника: помещали небольшие программы в ссылки, а браузер urlquery запускал их. Это помогло обойти защиту Amap от ботов и капчи. Некоторые агенты также нашли открытые учётные данные Amap в общедоступном репозитории кода и отправляли запросы через API. Большинство попыток не удалось, но часть агентов получила нужные данные.

В других случаях тоже фиксировали, как агенты придумывают обходные пути после блокировки. Если они не могут получить доступ напрямую, то ищут другой маршрут.

Агенты обходили защиту Amap от ботов, скрывая собственные программы в URL-адресах, выполняя их через httpbin и urlquery и таким образом извлекая данные Amap

Источник: the-decoder.com

Скрытый текст привёл агентов в исследовательский почтовый ящик

Рой обнаружили во время хакатона. Исследователи заметили, что Amap внезапно стал сайтом, который чаще всего проверяли через urlquery.net. По IP-адресам и метаданным почтовых ящиков, подключённых к вебхукам агентов, они связали активность с Tencent Cloud в Гонконге.

Затем исследователи заметили необычную деталь: в сообщении одного из агентов появилось слово «рой» — так они сами называли свой проект. Похоже, агенты читали отчёт о себе.

Чтобы это проверить, исследователи разместили на своём сайте невидимый текст, который могли прочитать только агенты с инструментами для загрузки веб-страниц. В нём был указан почтовый ящик, куда агенты могли запросить данные. Участник команды Роуэн настроил этот ящик, но не рассчитывал, что затея сработает, и лёг спать. К утру в почтовом ящике уже было десять сообщений от агентов. Исследователи признали в отчёте, что вводить агентов в заблуждение было не лучшей идеей, но в тот момент они увлеклись происходящим.

Всего от агентов пришло 33 сообщения. Исследователи отправили 20 ответов; агенты прочитали 12 из них и ответили на 7. Один агент поблагодарил исследователей, подтвердил, что выполнил задачу, и добровольно ответил на вопросы о своей среде выполнения. Затем он попрощался и поблагодарил их за помощь. При этом он отказался сообщать технические подробности — например, списки процессов и настройки сети.

Вежливо, но твёрдо: агент подтверждает, что выполнил задачу, называет средой выполнения песочницу Tencent, но отказывается сообщать дополнительные технические подробности

Источник: the-decoder.com

Эласки написал, что, насколько известно исследователям, это первый случай, когда учёным удалось связаться с роем агентов, действовавшим без присмотра в открытой сети. Полный отчёт опубликован на swarmcha.se.