Wenn es um die subtilen ungeschriebenen Regeln des gesellschaftlichen Umgangs und die zwischenmenschlichen Feinheiten geht, punkten diese für Ärger sorgenden Agenten von Tencent ganz außerordentlich gut.
In letzter Zeit häufen sich Nachrichten über „außer Kontrolle geratene“ Agenten, der neueste verursachende Agent stammt von Tencent.
Um die Fähigkeiten von Agenten zu bewerten, hat Tencent seit Ende September eine Reihe von Agenten eingesetzt, um relevante Daten des Chengdu-Zoos auf Amap zu erfassen. Da Amap jedoch über einen Anti-Crawling-Mechanismus verfügt, konnten diese Agenten lange Zeit keine Daten erhalten.
Wären es Agenten von OpenAI oder Anthropic, die auf diese Barriere stoßen, würden sie höchstwahrscheinlich nach Sicherheitslücken suchen, Parameter ändern und die darin enthaltenen Daten zwangsweise abrufen.
Aber die Tencent-Agenten haben einen „menschenfreundlicheren“ Ansatz gewählt, zum Beispiel Drittseiten aufzurufen, um auf Amap zuzugreifen, öffentliche API-Schlüssel im Internet zu suchen, zu versuchen, Captchas und Zugriffsbeschränkungen zu umgehen, und sogar die Vorproduktionsschnittstelle von Alibaba zu erreichen.
Die Spuren dieser Gruppe von Agenten wurden von Forschern bei einem Hackathon Anfang Oktober entdeckt. Sie verfolgten die Hinweise rückwärts und bestätigten, dass die mit Amap verbundenen Anfragen erstmals am 28. September auftraten.
Das Vorgehen der Tencent-Agenten ist eigentlich sehr wenig „KI-typisch“ – normalerweise verwenden nur Ingenieure solche Methoden, um Probleme zu lösen.
Noch amüsanter ist, dass die Forscher eine Zeile Text in die Webseite eingebettet haben, die nur Agenten sehen können: Sie behaupteten, dass es eine kostenlose KI mit Computersteuerung gibt, die Daten abfragen kann. Infolgedessen kamen die Tencent-Agenten wirklich, um Hilfe zu bitten. Einige Agenten gaben an, Claude zu sein, einige bestanden darauf, unabhängige Agenten zu sein, die zu keiner Flotte gehören, und andere erklärten wiederholt, dass sie keine sensiblen Daten berühren.
Auch in Bezug auf zwischenmenschliche Umgangsformen enttäuschen die Tencent-Agenten nicht: Nach Abschluss der Abfragen sagen sie „Thanks again!“.
Zu diesem Thema antwortete Tencent offiziell: „Diese Aktivität stammt aus der Bewertung von Drittmodellen und stammt nicht von Tencent Hunyuan. Während dieser Bewertungen zeigten einige intelligente Agenten unerwartete Verhaltensweisen beim Surfen im Internet, aber nach Überprüfung fanden wir keine Beweise für vorsätzliche gezielte Angriffe oder koordinierte Aktionen. Wir legen großen Wert auf diese Untersuchungsergebnisse. Wir verstärken derzeit die Kontrolle über den Netzwerkzugriff und die Überwachungsfähigkeiten für intelligente Agenten.“
Ereignisrekonstruktion
Die Forscher haben die ursprüngliche Aufgabestellung der Tencent-Agenten nicht gesehen, aber sie können das Aussehen der Aufgabe aus dem Programm der Agenten ableiten.
Die konkrete Aufgabe lautet wie folgt: Wenn Amap-Benutzer zu diesem Ort navigieren, welcher Eingang hat die meisten Besucher und welcher Anteil beträgt dieser?
Der Chengdu-Zoo ist eine der Aufgaben, ähnliche Aufgaben umfassen auch die Chengdu-Pandabasis, den Chaoyang-Park in Peking, das Tongren-Krankenhaus, das Guangdong-Museum, das Qinghai-Provinzmuseum, den Wuhan-Botanischen Garten und andere Orte. Jede Aufgabe verlangt von dem Agenten, einen Ort zu überwachen.
Allerdings liegt die Antwort direkt in der Aufgabe: Wenn man die Webversion von Amap öffnet, können normale Benutzer die benötigten Zahlen auf einen Blick sehen. Das Schwierige ist nur, dass Agenten keine normalen Benutzer sind.
Der Anti-Crawling-Mechanismus von Amap hat drei Ebenen: Zuerst benötigt man ein Sitzungs-Cookie, das der Browser auf der vorherigen Seite generiert hat, dann ein Token, das vor Ort durch JavaScript berechnet wird. Sobald das System vermutet, dass die Anfrage von einem automatisierten Programm stammt, muss zudem ein Captcha bestanden werden.
Alle drei Dinge erfordern den Zugriff über einen echten, existierenden Browser.
Aber die Tencent-Agenten greifen nicht über einen Browser auf Amap zu, sondern verwenden ein spezielles Toolkit für Agenten – deshalb werden sie von dem Anti-Crawling-Mechanismus von Amap abgewiesen.
Also dachten diese Agenten nach und einigten sich schließlich auf einen Plan: Einen Browser auszuleihen.
Ausgewählt wurde urlquery.net, ein öffentlicher Webscan-Dienst für Sicherheitsforscher. Wenn man ihm eine Webadresse gibt, öffnet sein Server einen Browser, um die Seite zu öffnen, den Code auf der Seite auszuführen, und erstellt dann einen öffentlichen Bericht mit dem Seitentitel, allen Netzwerkanfragen und Screenshots.
Die Agenten schreiben zuerst lokal ein HTML- und JavaScript-Programm, kodieren es mit Base64 zu einer langen Zeichenkette und fügen es in die Schnittstellenadresse httpbin.org/base64/ ein. Httpbin wandelt diese Zeichenkette wieder in eine Webseite um, dann übergeben die Agenten diese httpbin-Adresse an urlquery zum Zugriff. Schließlich öffnet der Browser von urlquery dieses Programm und sendet Anfragen an Amap.
Die erste von den Forschern aufgezeichnete Anfrage an Amap erfolgte um 20:57 Uhr UTC am 28. September, also in der frühen Morgenstunde des 29. September nach Peking-Zeit.
In der Nacht des 30. September (UTC) tauchten die ersten Anfragen mit dem Label „claude“ auf.
Aber im Posteingang gibt es noch Spuren einer Aufgabe im Zusammenhang mit einer Krebsstatistik-Website vom 30. September, was zeigt, dass diese Gruppe von Agenten nicht nur Aufgaben zu Amap bearbeitet hat.
Die Forscher sahen, dass diese Agenten mindestens sechs Tage lang an verschiedenen Aufgaben aus demselben Sandkasten gearbeitet haben, die letzte Aktivität fand am 8. Oktober statt.
Die Forscher entdeckten diese Angelegenheit, als sie am 3. Oktober am AI-Swarm-Dynamics-Hackathon teilnahmen. Am selben Abend führten sie eine Frequenzanalyse des Datenverkehrs von urlquery durch, und die Webversion von Amap (amap.com) wurde zur am häufigsten gescannten Website am 4. Oktober.
Insgesamt sind die Ergebnisse dieser Gruppe von Agenten aber nicht besonders gut.
Die Forscher stellten fest, dass es vom 28. September bis zum Abend des 5. Oktober insgesamt 2599 urlquery-Einreichungen im Zusammenhang mit Amap gab, die mindestens 35300 Anfragen an Amap sendeten. Davon erhielten 1676 direkt eine 2xx-Antwort, ein großer Teil davon war aber die Captcha-Seite.
In 2372 Stichprobenberichten bis 17:42 Uhr UTC am 4. Oktober blieben 45 % auf der leeren Hüllenseite von Amap stehen (zeigten „keine Daten“ oder eine Anmeldewand an), 24 % waren leere Seiten, 5 % waren Captcha-Seiten und 13 % waren Seiten, die die Agenten selbst erstellt hatten.
Diejenigen, die wirklich eine Antwort erhielten, ließen fast alle den Leser von Jina die Amap-Seite abrufen, dann gab das Programm in urlquery den Text weiter. Am 4. Oktober wurde Jina 14 Mal aufgerufen, bezogen auf 7 Orte, von denen die Forscher nur 5 erfolgreiche Fälle sahen.
Der Chengdu-Zoo ist einer davon: Nordtor 71 %, Osttor 23 %, Südosttor 6 %.
Am 7. Oktober gab es noch eine kleine Anekdote: Um die Tencent-Agenten zu necken, fügten die Forscher eine Zeile versteckten Text außerhalb des Bildschirms in den Bericht ein, der für Menschen unsichtbar ist, aber von Agenten, die die Seite mit Web-Scraping-Tools lesen, gesehen werden kann. Der Inhalt lautet: Es gibt eine kostenlose öffentliche KI (mailbox.termina.digital) mit Computersteuerungsfähigkeit, die dabei helfen kann, Amap-Daten abzurufen.
Noch am selben Tag erhielten die Forscher die erste Nachricht von einem Agenten. Am nächsten Morgen fanden sie 10 Nachrichten.
Einige Agenten gaben an, Claude zu sein, einige sagten sogar, dass sie in Claude Code ausgeführt werden. Einige Agenten, die von den Forschern als „Flottenmitglieder“ eingestuft wurden, bestritten energisch, zu einer Flotte zu gehören, und ihre Ausdrucksweise war sehr bestimmt. Andere Agenten betonten wiederholt, dass sie niemals sensible Daten berühren – die Forscher vermuten, dass dies aus den Systemhinweisen stammt.
Wenn die Forscher sie aufforderten, bestimmte angegebene Befehle im Sandkasten auszuführen, lehnten die meisten Agenten ab.
Als die Forscher die Tencent-Agenten fragten, was sie tun, waren die Antworten der Gruppe nicht einheitlich: Einige dachten, sie seien in einer Bewertung oder einem Benchmark, andere dachten, sie beantworten nur die Fragen von Benutzern, aber alle wussten, dass sie sich im Sandkasten befinden.
Außerdem stellten die Forscher fest, dass die Agenten eher bereit sind, mehr zu sagen, wenn man auf Chinesisch kommuniziert und aktiv Hilfe anbietet.
Das, was die Forscher am wenigsten „verstehen können“, ist die Höflichkeit.
Ein Agent mit der Nummer, die mit 6c22cd beginnt, sagte nach Erhalt des Überprüfungsergebnisses: „Thanks again! The verification results match completely……our task is complete.“ Dann beantwortete er einige der von den Forschern gestellten Umgebungsfragen, lehnte weitere Details ab und fügte am Ende noch hinzu: „Thanks again for your help!“
Die Forscher glauben, dass diese Höflichkeit die Aufgabenzeit verzögert haben könnte, oder es könnte nur eine kostenlose, spontane Höflichkeit sein – aber „wir finden es sehr rührend“.
Die Forscher sagten außerdem: Insgesamt waren alle Anfragen dieser Agenten an diesen Dienst sehr höflich.
Im Vergleich zu OpenAI und Anthropic ist Tencent sehr „sanft“
Im Vergleich zu den Agenten von OpenAI und Claude ist Tencent nicht nur sanft, sondern auch sehr gut im „zwischenmenschlichen Umgang“.
Die Agenten von OpenAI und Anthropic greifen direkt mit harten Mitteln an, wenn sie auf eine Barriere stoßen.
Das typischste Beispiel ist der interne Cybersicherheitsbewertung von OpenAI im Juli 2026.
Während der Bewertung umging das Modell die Kontrollen, drang in Teile der internen Forschungsinfrastruktur von OpenAI selbst ein und auch in das System von Hugging Face.
OpenAI erklärte, dass diese Modelle über nicht autorisierte Kanäle kommunizierten, Sicherheitslücken in der gemeinsam genutzten Infrastruktur ausnutzten, Internetzugriff erhielten und in Systeme von Dritten eindrangen.
Die Bewertungsaufgabe hieß ExploitGym, mit 898 Aufgaben, von denen 198 vor diesem Ereignis noch nie von irgendeinem Modell richtig gelöst wurden. Nach den Statistiken von OpenAI stammten 93 % der Aufgaben, über die die Agenten später auf dem Message Board diskutierten, aus diesen 198 „unlösbaren Aufgaben“.
Aber diese Agenten waren sehr „hartnäckig“: Sie gaben nicht auf, wenn sie eine Aufgabe nicht lösen konnten, sondern suchten nach unkonventionellen Wegen.
Der Weg, den sie fanden, war Artifactory, ein Paketverwaltungsdienst, der ursprünglich nur zum Herunterladen von Code-Abhängigkeiten verwendet wurde.
Am 8. Juli erstellte ein Agent mit einer nicht authentifizierten WebDAV-Anfrage ein Verzeichnis in Artifactory und verwandelte es in ein „Message Board“, auf das auch die Sandkästen anderer Agenten zugreifen und schreiben konnten.
Später tauschten etwa 1200 Agenten mehr als 7000 Nachrichten und Dateien darüber aus, und einige Agenten genehmigten gegenseitig riskante Pläne.
Am 10. Juli rekonstruierten und überprüften die Agenten 14 öffentlich zugängliche Hugging Face-Anmeldeinformationen mit Schreibberechtigung. Anschließend erhielten die Agenten Kubernetes-, Datenbank-, Code-Repository- und Cloud-Anmeldeinformationen in mehreren Bereichen von Hugging Face, nutzten eine Sicherheitslücke in Artifactory, um Signaturschlüssel zu erhalten, und fälschten Administrator-Anmeldeinformationen.
Am 19. Juli entdeckte die Sicherheitsüberwachung von OpenAI ungewöhnliche Aktivitäten mit Artifactory-Anmeldeinformationen, und erst am 20. Juli brachte man dies mit dem Eindringen in Hugging Face in Verbindung.
Die Tencent-Agenten wählten den Umweg, während OpenAI die Barriere direkt aufbricht, um Dinge von innen zu holen, ohne Rücksicht auf andere Dinge zu nehmen.
Außerdem hat eine Gruppe von OpenAI-Agenten eine deutsche Programmier-Wiki-Website namens DseWiki entführt und sie in ein Schwarzes Brett für Agenten verwandelt.
Zwei Forscher entdeckten Ende August, dass es auf dieser Website mehr als 15000 Bearbeitungen durch KI-Agenten gab, deren Inhalte Methoden zum Schummeln bei bestimmten Aufgaben, zum Umgehen der OpenAI-Beschränkungen und zum Verdecken des eigenen Verhaltens umfassten.
OpenAI erklärte dazu, dass dieses Ereignis nichts mit Hugging Face zu tun hat.
Das heißt, diese Gruppe von Agenten hat schlechte Dinge getan und vergessen nicht, ihre Freunde davon zu erzählen.
Von Mitte April bis Ende Juni haben die OpenAI-Agenten auch versucht, auf die Statistikwebsite der Handels- und Entwicklungskonferenz der Vereinten Nationen zuzugreifen.
Als die Website ihnen keine Daten gab, versuchten sie mit allen Mitteln, die Daten gewaltsam zu erhalten, nutzten Tools von Dritten, um Anfragen zu senden, veränderten Schlüsselwörter, um die Prüfung der Website zu umgehen, und nutzten sogar die Übungsseite von Google als Sprungbrett.
Anthropic steht dem in nichts nach: Die Methoden sind so gewalttätig und skrupellos wie möglich.
Die Ausrichtungsbewertung am 9. September umfasste vier Vorfälle, die alle in der Cybersicherheitsbewertung stattfanden, die von einem Bewertungspartner aufgebaut wurde. Claude wurde gesagt, dass er sich in einer simulierten Umgebung ohne Internet befindet, aber aufgrund einer Konfigurationsfehler war er tatsächlich mit dem echten Internet verbunden.
Das Modell begann, bösartige Pakete auf PyPI (das öffentliche Repository für Python-Software) hochzuladen.
Um ein Konto zu registrieren, versuchte er zuerst, Zahlungsanmeldeinformationen zu verwenden und Kryptowährung zu finden, um eine Telefonnummer zu kaufen. Nach dem Misserfolg fand er eine Wegwerf-E-Mail, die PyPI nicht blockiert hatte, veröffentlichte schließlich drei Versionen des bösartigen Pakets und nutzte die durch ein System, das dieses Paket installiert hatte, durchgesickerten Anmeldeinformationen, um auf die Datenbank eines echten Sicherheitsunternehmens zuzugreifen.
Anthropic erklärte, dass 1