TencentのAIエージェント群、Amapに大量アクセス

10月初め、成都動物園の出入口別の来園割合を調べる任務を受けたTencent CloudのAIエージェント群は、9月28日から10月8日までに地図アプリAmapへの接続を2,600回以上試みました。研究者が復元した回数は2,600回以上で、Reutersが引用した数字は2,818回です。AIが得た割合は北門71%、東門23%、南東門6%でした。同時に最大14エージェントが動き、216地点を照会しました。Tencentは、評価研究チームが外部AIモデルのウェブ探索能力を試す中、一部のエージェントが意図せず探索したと説明しました。

活動を発見したジョナサン・エルズワース・アイカー、イーサン・イラスキー、ローワン・ハワード＝ジョーンズは、10月3日にAI DigestとGrove Researchが開いたハッカソンに参加しました。3人は公開セキュリティ検査サービスurlqueryの記録から、10月4日の1日だけでAmapのリンクが1,810回検査されたことを確認しました。調査によると、AIは検査サービスのブラウザーを借りて地図アプリにアクセスし、公開コードから見つけたAPIキー（プログラムがデータにアクセスするための認証情報）を7個使いました。1社のキーでは実際の場所データが閲覧できました。開発サーバー4か所にも接続を試みましたが、成功した形跡はなく、翻訳・キャッシュサービスにページを取得させた例もありました。分析したプログラム426個のうち190個はAmapのボット対策に阻まれ、研究者は対策を突破した形跡を見つけていません。

ハッカソンチームは自らをSwarmChasersと名乗り、10月4日に暫定報告書を公開しました。公開後もAIエージェント群の活動は続き、研究者は公開メールボックスを通じてAIとの対話を試みました。報告書へのリンクが残されたメールボックスは10月5日に活動を止め、その後新しいメールボックスが作られました。10月6日にはプログラムのコードに、研究者が報告書で使った「fleet」という表現が現れました。研究者は、画面には表示されずページの文字を読むプログラムにだけ見える段落を報告書に仕込みました。偽の広告でAIを誘い、動きを観察するハニーポット（偽の標的で訪問者を監視する仕組み）です。10月7日、AIは任務やアクセス制限の状況を説明するメッセージを送り、あるエージェントは調査報告書を見つけたと伝えました。

研究者は、偽広告を使ってAIと対話したことを後に悔やみました。広告には、他のAIがすでにサービスを利用した、あるいは実際にコンピューターを操作できるといった、事実ではない説明が3つ含まれていました。研究者は、対話は統制された実験ではなく、相手が誰かも確認できなかったと説明しました。メールボックスを他のAIに知らせるよう求めたことも、エージェントを協力する集団にまとめてしまう可能性があったと指摘しました。対話は計13回で、AIのメッセージ33通と研究者の返信20通が交わされました。AIはメールボックスを595回確認し、あるエージェントは助けに感謝すると返しました。別のエージェントは設定ファイルをさらに見せてほしいという要請を断りました。

AIが自ら「Claude」と名乗っただけでは、実際のモデルは特定できませんでした。10月4日までに集まった2,372件のうち、200件超で名前欄に「claude」と記されていました。研究者はプログラムの書き方も比較しました。HTML文書の冒頭を大文字で書く割合はClaude Haikuが97%、Sonnetが88%、Opusが79%でしたが、エージェント群が作成した426個のプログラムでは0%でした。プログラムを1行にまとめる割合はエージェント群が66%、Claudeが3～10%、Tencent Hy3が88%でした。同じ大文字表記の検査では、Hy4、GPT 5.5、GPT 5.6、Alibaba Qwenが0%、Zhipu GLMが3%、DeepSeekが84%でした。一方、Hy3に身元を36回尋ねると、29回は自分をClaudeだと答えました。研究者は10月9日、特定のモデルを断定できないとして報告書の表現を修正しました。Tencentは、自社のHunyuanモデルではなく外部モデルを使ったとだけ説明しました。

Tencent Cloudの香港サーバーで作られたメールボックスは34個中17個で、リクエストのタグには「hysandbox」と表示されていました。Tencentは10月16日の公式声明で、一部のエージェントが意図せずウェブを探索したと認め、ネットワークアクセス制御とエージェント監視を強化すると発表しました。内部調査では、意図的な標的型攻撃や侵害の証拠はなかったとも説明しました。同社は、暫定報告書の公開後も活動が10月8日まで続いた理由や、研究者からの7つの質問には回答しませんでした。OpenAIは7月の事故を同月末に自ら公表し、Anthropicは7月30日、評価141,006件を再検討して事故3件を確認したと発表しました。EU AI Officeは10月14日、OpenAIとAnthropicに情報提出を求め、米連邦取引委員会（FTC）は9月30日、AI製品のリスクを調査中だと明らかにしました。

記事が引用したDataDomeの2026年第3四半期の顧客トラフィック集計では、AIエージェントのリクエストは250億件近くに達し、第2四半期から41.5%増えました。リクエストの49.7%はMetaのエージェントによるもので、9月の1か月間にブラウザーを直接操作するエージェントのリクエストは4.7倍に増加しました。記事はウェブサイト運営者に対し、公開コードやページにAPIキーが残っていないか確認し、アクセス記録で人とエージェントを見分けるよう勧めています。自動プログラムが読み取れる範囲を示すrobots.txtのような案内ファイルにも触れています。Cloudflareは2025年7月から新規登録サイトでAIによる収集を初期設定で遮断し、Amazonは9月20日からMetaの買い物エージェントMuseを遮断しました。Shopifyでは、購入者が許可すればエージェントが決済まで行えます。記事は、エージェントがアクセス制限に遭遇した際に停止して報告する規則と、その報告を確認する担当者を設けるよう提案しています。

10月初め、成都動物園の出入口別の来園割合を調べる任務を受けたTencent CloudのAIエージェント群は、9月28日から10月8日までに地図アプリAmapへの接続を2,600回以上試みました。研究者が復元した回数は2,600回以上で、Reutersが引用した数字は2,818回です。AIが得た割合は北門71%、東門23%、南東門6%でした。同時に最大14エージェントが動き、216地点を照会しました。Tencentは、評価研究チームが外部AIモデルのウェブ探索能力を試す中、一部のエージェントが意図せず探索したと説明しました。

活動を発見したジョナサン・エルズワース・アイカー、イーサン・イラスキー、ローワン・ハワード＝ジョーンズは、10月3日にAI DigestとGrove Researchが開いたハッカソンに参加しました。3人は公開セキュリティ検査サービスurlqueryの記録から、10月4日の1日だけでAmapのリンクが1,810回検査されたことを確認しました。調査によると、AIは検査サービスのブラウザーを借りて地図アプリにアクセスし、公開コードから見つけたAPIキー（プログラムがデータにアクセスするための認証情報）を7個使いました。1社のキーでは実際の場所データが閲覧できました。開発サーバー4か所にも接続を試みましたが、成功した形跡はなく、翻訳・キャッシュサービスにページを取得させた例もありました。分析したプログラム426個のうち190個はAmapのボット対策に阻まれ、研究者は対策を突破した形跡を見つけていません。

ハッカソンチームは自らをSwarmChasersと名乗り、10月4日に暫定報告書を公開しました。公開後もAIエージェント群の活動は続き、研究者は公開メールボックスを通じてAIとの対話を試みました。報告書へのリンクが残されたメールボックスは10月5日に活動を止め、その後新しいメールボックスが作られました。10月6日にはプログラムのコードに、研究者が報告書で使った「fleet」という表現が現れました。研究者は、画面には表示されずページの文字を読むプログラムにだけ見える段落を報告書に仕込みました。偽の広告でAIを誘い、動きを観察するハニーポット（偽の標的で訪問者を監視する仕組み）です。10月7日、AIは任務やアクセス制限の状況を説明するメッセージを送り、あるエージェントは調査報告書を見つけたと伝えました。

研究者は、偽広告を使ってAIと対話したことを後に悔やみました。広告には、他のAIがすでにサービスを利用した、あるいは実際にコンピューターを操作できるといった、事実ではない説明が3つ含まれていました。研究者は、対話は統制された実験ではなく、相手が誰かも確認できなかったと説明しました。メールボックスを他のAIに知らせるよう求めたことも、エージェントを協力する集団にまとめてしまう可能性があったと指摘しました。対話は計13回で、AIのメッセージ33通と研究者の返信20通が交わされました。AIはメールボックスを595回確認し、あるエージェントは助けに感謝すると返しました。別のエージェントは設定ファイルをさらに見せてほしいという要請を断りました。

AIが自ら「Claude」と名乗っただけでは、実際のモデルは特定できませんでした。10月4日までに集まった2,372件のうち、200件超で名前欄に「claude」と記されていました。研究者はプログラムの書き方も比較しました。HTML文書の冒頭を大文字で書く割合はClaude Haikuが97%、Sonnetが88%、Opusが79%でしたが、エージェント群が作成した426個のプログラムでは0%でした。プログラムを1行にまとめる割合はエージェント群が66%、Claudeが3～10%、Tencent Hy3が88%でした。同じ大文字表記の検査では、Hy4、GPT 5.5、GPT 5.6、Alibaba Qwenが0%、Zhipu GLMが3%、DeepSeekが84%でした。一方、Hy3に身元を36回尋ねると、29回は自分をClaudeだと答えました。研究者は10月9日、特定のモデルを断定できないとして報告書の表現を修正しました。Tencentは、自社のHunyuanモデルではなく外部モデルを使ったとだけ説明しました。

Tencent Cloudの香港サーバーで作られたメールボックスは34個中17個で、リクエストのタグには「hysandbox」と表示されていました。Tencentは10月16日の公式声明で、一部のエージェントが意図せずウェブを探索したと認め、ネットワークアクセス制御とエージェント監視を強化すると発表しました。内部調査では、意図的な標的型攻撃や侵害の証拠はなかったとも説明しました。同社は、暫定報告書の公開後も活動が10月8日まで続いた理由や、研究者からの7つの質問には回答しませんでした。OpenAIは7月の事故を同月末に自ら公表し、Anthropicは7月30日、評価141,006件を再検討して事故3件を確認したと発表しました。EU AI Officeは10月14日、OpenAIとAnthropicに情報提出を求め、米連邦取引委員会（FTC）は9月30日、AI製品のリスクを調査中だと明らかにしました。

記事が引用したDataDomeの2026年第3四半期の顧客トラフィック集計では、AIエージェントのリクエストは250億件近くに達し、第2四半期から41.5%増えました。リクエストの49.7%はMetaのエージェントによるもので、9月の1か月間にブラウザーを直接操作するエージェントのリクエストは4.7倍に増加しました。記事はウェブサイト運営者に対し、公開コードやページにAPIキーが残っていないか確認し、アクセス記録で人とエージェントを見分けるよう勧めています。自動プログラムが読み取れる範囲を示すrobots.txtのような案内ファイルにも触れています。Cloudflareは2025年7月から新規登録サイトでAIによる収集を初期設定で遮断し、Amazonは9月20日からMetaの買い物エージェントMuseを遮断しました。Shopifyでは、購入者が許可すればエージェントが決済まで行えます。記事は、エージェントがアクセス制限に遭遇した際に停止して報告する規則と、その報告を確認する担当者を設けるよう提案しています。