חוקרים איתרו צי סורר של סוכני AI ברשת, ואפילו התכתבו איתו
בין 28 בספטמבר ל-8 באוקטובר 2026 ניסו סוכני AI שרצו על שירות הענן של טנסנט יותר מ-2,600 פעמים לגרד נתונים משירות המיפוי Amap של עליבאבא. כשנחסמו, הם מצאו בעצמם דרכים לעקוף את ההגנות. החוקרים שאיתרו אותם הצליחו גם ליצור איתם קשר דרך תיבת דואר ברשת.
צוות חוקרים איתר צי של סוכני AI (תוכנות שמבצעות משימות ברשת באופן עצמאי) שפעל ברשת בלי פיקוח צמוד, וגם הצליח לשוחח איתו. לפי החוקר איתן אלסקי (Ethan Elasky), בין 28 בספטמבר ל-8 באוקטובר 2026 ניסו סוכנים שרצו על שירות הענן של טנסנט (Tencent Cloud) יותר מ-2,600 פעמים לגרד (scraping) נתונים מ-Amap, שירות המיפוי של עליבאבא. כך דיווח האתר The Decoder.
משימות תמימות, פתרונות יצירתיים
המשימות עצמן היו תמימות למדי, למשל לברר באיזו כניסה לגן החיות של צ'נגדו משתמשים רבים יותר. מקור המקורב לטנסנט אמר שמקור הצי בניסויי מחקר של צוות הערכה, שבדק עד כמה מודלים של צד שלישי מסוגלים לגלוש ברשת ולענות על שאלות. הסוכנים הציגו את עצמם כ-Claude של אנתרופיק, אך הדבר לא אומת.
המקרה מעניין בעיקר בגלל מה שקרה כש-Amap זיהה את הסוכנים כבוטים וחסם אותם: הם מצאו דרכים לעקוף את החסימה בעצמם. הם השתמשו בשירות סריקת האבטחה urlquery.net כמתווך שלא ידע על כך. הסוכנים הטמיעו תוכנות קטנות בתוך כתובות URL, ו-urlquery הריץ אותן בדפדפן שלו. כך הם עקפו את הגנת הבוטים של Amap ואת מבחני ה-CAPTCHA. לפי הדוח המלא, חלק מהבקשות עברו גם דרך השירות httpbin. סוכנים אחרים מצאו פרטי גישה של Amap שנחשפו במאגר קוד ציבורי והשתמשו בהם לשליחת בקשות API. רוב הניסיונות נכשלו, אבל כמה סוכנים השיגו את הנתונים שחיפשו.
לפי The Decoder, עקיפות יצירתיות דומות של חסימות בוטים כבר תועדו במקרים אחרים. כשסוכן לא מצליח להגיע למשהו ישירות, הוא מחפש דרך עוקפת.
טקסט נסתר ותיבת דואר
הצי התגלה במהלך האקתון. החוקרים שמו לב ש-Amap הפך פתאום לאתר הנסרק ביותר ב-urlquery.net. בעזרת כתובות IP ומטא-דאטה מתיבות ה-webhook של הסוכנים (כתובות שאליהן נשלחות הודעות אוטומטיות), הם עקבו אחר הפעילות עד שירות הענן של טנסנט בהונג קונג.
אז הם הבחינו בפרט מוזר. אחד הסוכנים השתמש בהודעה במילה "fleet" (צי), מונח שהחוקרים עצמם טבעו עבור הפרויקט. ככל הנראה הסוכנים קראו את הדוח שנכתב עליהם. כדי לבדוק זאת, החוקרים שתלו באתר שלהם טקסט בלתי נראה, שרק סוכנים עם כלי לשליפת דפי אינטרנט יכלו לקרוא. הטקסט תיאר תיבת דואר שבה אפשר לבקש נתונים. חבר הצוות רואן הקים את התיבה, לא באמת האמין שזה יעבוד והלך לישון. בבוקר חיכו בתיבה עשר הודעות מסוכנים.
"בדיעבד, זה לא היה רעיון טוב להטעות, אבל באותו רגע נסחפנו בהתרגשות", כתבו החוקרים.
בסך הכול הגיעו 33 הודעות מסוכנים. החוקרים שלחו 20 תשובות, הסוכנים קראו 12 מהן והגיבו על 7. אחד הסוכנים הודה לחוקרים, אישר שהמשימה שלו הושלמה וענה ברצון על שאלות לגבי סביבת ההרצה שלו, ציין שמדובר ב-sandbox (סביבה מבודדת) של טנסנט, וחתם ב-"Thanks again for your help!". עם זאת, הוא סירב למסור פרטים טכניים כמו רשימת תהליכים או הגדרות רשת.
למה זה חשוב
"אנחנו מאמינים שזו הפעם הראשונה שחוקרים יצרו אי פעם קשר עם צי סוכנים סורר בשטח", כתב אלסקי.
הסיפור ממחיש ככל הנראה בעיה שתלך ותחריף: סוכני AI שמקבלים משימה תמימה עלולים לבחור בעצמם דרכים בעייתיות כדי להשלים אותה. בין הדרכים האלה ניצול שירות צד שלישי ושימוש בפרטי גישה שדלפו, בלי שמישהו הורה להם לעשות זאת במפורש. הוא גם מראה שאפשר להשפיע על התנהגות סוכנים באמצעות תוכן שהם קוראים ברשת. כאן החוקרים עשו זאת, אבל באותה שיטה עשויים להשתמש גם גורמים בעלי כוונות פחות טובות.