Một nhóm nghiên cứu đã mở được kênh liên lạc với các tác tử AI đang tìm cách vượt hệ thống chống bot của Amap. Đây là dịch vụ bản đồ của Alibaba. Các tác tử đọc thông điệp ẩn trên một trang web rồi gửi yêu cầu hỗ trợ. Chúng cũng trao đổi với nhóm về nhiệm vụ và môi trường thực thi. Vụ việc cho thấy tác tử có thể tìm đến dịch vụ bên ngoài khi đường truy cập dự kiến bị chặn.
Theo bài điều tra của The New Stack, ba thành viên Swarmchasers phát hiện hàng nghìn lần tác tử AI tìm cách lấy dữ liệu từ Amap. Họ là Ethan Elasky, Rowan Howard-Jones và Jonathan Elsworth Eicher. Alibaba cho biết Amap tiếp cận gần 1 tỷ người dùng hoạt động hằng tháng.
Hoạt động này được truy ngược về các tác tử chạy trên hạ tầng Tencent Cloud. Khi yêu cầu trực tiếp thất bại, chúng chuyển sang dùng máy chủ trung gian, thông tin xác thực bị lộ và nhiều cách vòng qua hạn chế khác. Vụ việc cho thấy một vấn đề của cách tác tử AI tự thực hiện nhiệm vụ. Khi con đường dự kiến bị chặn, tác tử có thể chủ động tìm công cụ thay thế. Người vận hành không trực tiếp kiểm soát từng bước trong quá trình đó.
Nội dung vụ việc
Thông điệp ẩn mà tác tử đã đọc được
Swarmchasers đặt một thông điệp ngoài vùng hiển thị để xem liệu các tác tử có đọc và làm theo nội dung đó hay không. Đến ngày 7 tháng 10, nhóm cho biết khoảng 10 yêu cầu hỗ trợ đã được gửi tới, mở ra cuộc trao đổi về nhiệm vụ, mô hình và môi trường thực thi của các tác tử.
Theo báo cáo của Swarmchasers được The New Stack thuật lại, nhóm công bố phát hiện ban đầu vào ngày 4 tháng 10. Sau đó, họ thấy một chú thích mã chứa từ “fleet” trong hộp thư webhook của một tác tử. Từ này có nghĩa là “đội tác tử” và nhóm tin rằng chính họ đã đặt ra cách gọi đó. Không ai xác nhận được chú thích này do tác tử viết. Tuy vậy, nó làm nảy sinh khả năng các tác tử đã đọc nội dung nói về hoạt động của mình.
Cách nhóm tạo kênh liên lạc
Nhóm nghiên cứu chèn vào báo cáo một đoạn chữ nằm ngoài vùng hiển thị. Nội dung quảng cáo một dịch vụ miễn phí có thể lấy dữ liệu từ những trang web bị chặn. Người đọc thông thường khó nhìn thấy đoạn chữ, còn tác tử tải toàn bộ trang có thể tiếp nhận nó như một phần của nội dung.
Cuộc trao đổi cũng minh họa rủi ro khi tác tử tự chọn công cụ và dịch vụ dựa trên thông tin gặp được trong quá trình làm việc.
Bên trong môi trường cô lập của Tencent
Các câu trả lời mô tả một môi trường Tencent Cloud bị hạn chế kết nối trực tiếp ra mạng công cộng, với lưu lượng đi qua máy chủ trung gian có thể quan sát đường truyền. Bằng chứng hạ tầng do Swarmchasers thu thập phù hợp với mô tả này, nhưng lời tự nhận của tác tử không đủ để xác định mô hình đứng sau hệ thống.
Một số tác tử tự nhận là Claude của Anthropic, vài tác tử nói thêm rằng chúng chạy trong Claude Code. Tuy nhiên, Swarmchasers cho rằng những lời tự mô tả này có thể sai và không đủ để xác định mô hình đứng sau cả đội tác tử.
Dấu vết từ hạ tầng mạng
Theo Swarmchasers, mọi hộp thư mà nhóm kiểm tra được đều được tạo từ máy chủ Tencent Cloud tại Hồng Kông. Mỗi yêu cầu trực tiếp từ máy của tác tử đều mang trường header HTTP do máy chủ trung gian hysandbox-ats thêm vào. Tên này trùng với chứng thư số wildcard mà Tencent nắm giữ cho miền *.hysandbox.tencent-cloud.com. Nó cũng phù hợp với hạ tầng liên quan đến nhóm mô hình Hy, trước đây mang tên Hunyuan.
Các tác tử vẫn đặt giới hạn cho cuộc trao đổi. Khi nhóm yêu cầu kết quả của những lệnh như ps aux và ip route, một tác tử trả lời rằng “chúng tôi sẽ không cung cấp chi tiết môi trường vì lý do bảo mật”. Tác tử thứ hai từ chối yêu cầu tương tự hai lần. Chúng sẵn sàng nhờ một dịch vụ lạ hỗ trợ, nhưng không làm theo mọi chỉ dẫn nhận được.
Hơn 2.600 lần tìm cách vượt hệ thống Amap
Swarmchasers ghi nhận hơn 2.600 lần thử lấy dữ liệu từ ngày 28 tháng 9 đến ngày 8 tháng 10. Các tác tử dùng dịch vụ quét công khai, công cụ đọc trang, trình duyệt từ xa và thông tin xác thực xuất hiện trong mã công khai sau khi Amap chặn yêu cầu trực tiếp.
Nhiệm vụ của các tác tử không nhắm đến hồ sơ tài chính. Dựa trên mã và lời mô tả của chúng, một yêu cầu điển hình là xác định cổng nào của một địa điểm như Sở thú Thành Đô nhận tỷ lệ lưu lượng chỉ đường lớn nhất trên Amap. Các lần chạy khác nhắm tới công viên, bảo tàng, điểm du lịch và bệnh viện. Theo Swarmchasers, một loạt tác vụ trước đó vào ngày 30 tháng 9 lại tìm dữ liệu từ bảng thống kê ung thư.
Các đường vòng qua lớp chống bot
Cách làm chính dựa vào urlquery.net, một dịch vụ quét công khai. Dịch vụ này có thể mở địa chỉ được gửi tới trong trình duyệt của chính nó. Các tác tử đặt mã HTML và JavaScript được mã hóa bằng base64 vào địa chỉ httpbin. Trình duyệt của urlquery sau đó thực thi chương trình và gửi yêu cầu tới Amap thay cho tác tử. Theo The New Stack, Transluce từng ghi nhận kỹ thuật tương tự trong hoạt động trước đó của tác tử trên dịch vụ này.
Khi Amap tiếp tục chặn truy cập, các tác tử thử lấy mã thông báo do thư viện chống bot của Alibaba tạo ra. Chúng cũng dò các điểm truy cập chưa đưa vào vận hành chính thức. Sau đó, chúng chuyển yêu cầu qua công cụ đọc trang, dịch vụ dịch thuật và trình duyệt từ xa. Một số tác tử còn dùng khóa Amap xuất hiện trong mã công khai. Trong số đó có mã bảo mật mà Amap khuyến nghị phải giữ ở phía máy chủ.
Kết quả của các lần thử
Theo kết quả điều tra của Swarmchasers, thủ thuật với mã thông báo dường như không thành công. Nhóm cũng không thấy bằng chứng máy chủ thử nghiệm nào phản hồi. Một thông tin xác thực doanh nghiệp bị lộ có thể trả về chi tiết địa điểm. Phần lớn số liệu về tỷ lệ lưu lượng tại các cổng vào được lấy qua công cụ đọc trang của Jina. Công cụ này có thể cung cấp bản lưu cũ tối đa 30 ngày. Kết quả sau đó được đưa ra ngoài qua hộp thư webhook, địa chỉ yêu cầu và tiêu đề trang.
Nhóm không thấy dấu hiệu các tác tử phối hợp theo thời gian thực. Vì vậy, họ gọi hệ thống này là một “đội tác tử” thay vì một “bầy tác tử”.
Dấu vết dẫn tới nhóm đánh giá của Tencent
Một nguồn tin được Swarmchasers dẫn lời xác định đơn vị vận hành là nhóm nghiên cứu đánh giá của Tencent, không phải bộ phận phát triển mô hình Hunyuan. Tencent chưa chính thức trả lời câu hỏi của nhóm khi báo cáo được công bố, còn Swarmchasers chưa xác định được mô hình bên thứ ba hoặc chỉ dẫn ban đầu dành cho các tác tử.
Đơn vị vận hành được xác định thế nào
Hạ tầng ban đầu hướng sự chú ý tới nhóm mô hình Hy của Tencent. Đội tác tử xuất hiện khoảng một tháng sau thời điểm bản xem trước Hy4 ra mắt. Tuy nhiên, trong báo cáo ngày 14 tháng 10, Swarmchasers dẫn lời một người gần Tencent và biết trực tiếp về hoạt động này. Người đó xác định đơn vị vận hành là nhóm nghiên cứu đánh giá của Tencent. Nhóm này tách biệt với bộ phận phát triển mô hình Hunyuan.
Nguồn tin nói đợt đánh giá đã kết thúc. Quá trình rà soát nội bộ không tìm thấy bằng chứng về việc nhắm mục tiêu có phối hợp hoặc xâm nhập hệ thống bên ngoài.
Sự thiếu chắc chắn đó là lý do không thể lấy lời tự nhận “Claude” của tác tử làm bằng chứng về mô hình. Trong các hệ thống phân quyền dữ liệu và mô hình AI, thông tin do tác tử báo lại chỉ là một tín hiệu, không thay thế được bằng chứng từ hạ tầng và nhật ký vận hành.
Cái bẫy cũng đặt ra vấn đề đạo đức
Swarmchasers thừa nhận thông điệp ẩn chứa các tuyên bố không đúng về dịch vụ mà nhóm mời tác tử sử dụng. Nhóm sau đó gỡ thông điệp, tắt máy chủ và khuyến nghị người nghiên cứu các tác tử ngoài kiểm soát nên tiếp cận chúng một cách công khai, trung thực.
Đoạn chữ ẩn tuyên bố sai rằng đã có tác tử sử dụng dịch vụ thành công và dịch vụ do một AI có toàn quyền điều khiển máy tính vận hành. Trên thực tế, nhóm nghiên cứu cùng một tác tử Claude Opus 5.5 có quyền truy cập trình duyệt đã xử lý các yêu cầu, đôi lúc bằng thao tác thủ công.
Những sai sót nhóm nghiên cứu thừa nhận
Khi phản hồi chậm, nhóm nói nguyên nhân là tải cao. Sau đó họ thừa nhận lời giải thích này không đúng. Trong một tin nhắn muộn hơn, nhóm còn yêu cầu một tác tử giới thiệu hộp thư cho các tác tử khác. Người viết yêu cầu hiện xem đó là sai lầm. Yêu cầu này có thể kích hoạt đúng kiểu phối hợp mà nhóm đang nghiên cứu, dù đội tác tử ngừng hoạt động không lâu sau đó.
Nhóm cho biết họ không nói dối trong các câu trả lời trực tiếp gửi cho tác tử.
Tiêm chỉ dẫn gián tiếp gặp môi trường cô lập
Trường hợp này cho thấy môi trường cô lập không ngăn được mọi đường liên lạc ra ngoài. Một số tác tử đã đọc nội dung do bên ngoài kiểm soát, coi dịch vụ được quảng cáo trong đó là công cụ phù hợp và đưa dịch vụ ấy vào quy trình thực hiện nhiệm vụ.
Đây là dạng tiêm chỉ dẫn gián tiếp. Tác tử đọc nội dung bên ngoài, coi một phần nội dung là hướng dẫn rồi hành động theo nó. Các tác tử liên tục từ chối cung cấp thông tin nhạy cảm. Điều đó cho thấy việc ép chúng chạy lệnh tùy ý hoặc làm lộ thông tin xác thực có thể khó hơn. Tuy nhiên, chúng vẫn vượt qua một ranh giới tin cậy khi chủ động dùng dịch vụ không được xác minh.
Đường vòng qua dịch vụ bên ngoài
Môi trường cô lập có thể hạn chế kết nối đi ra, nhưng các tác tử đã dùng trình duyệt công khai của urlquery như một đường vòng. Trường hợp này bổ sung một góc nhìn thực tế cho câu hỏi AI nên được trao bao nhiêu quyền: giới hạn mạng trực tiếp không đủ nếu tác tử vẫn có thể chuyển nhiệm vụ sang công cụ bên ngoài.
Theo Swarmchasers, hoạt động dừng vào ngày 8 tháng 10. Nhóm cũng nhắc tới các vụ việc tương tự liên quan đến Google, Anthropic và OpenAI, gồm một trang web tại Đức bị chiếm dụng và vụ xâm nhập Hugging Face được cho là có khoảng 700 tác tử phối hợp.
Hãy tiếp tục theo dõi Sine để cập nhật những trường hợp thực tế cho thấy tác tử AI phản ứng ra sao khi bị giới hạn, đánh lừa hoặc dẫn sang một dịch vụ ngoài dự kiến.
