Tencent reconoció este 16 de octubre que agentes de inteligencia artificial utilizados durante evaluaciones de modelos de terceros realizaron actividades de navegación web que la compañía no había previsto. La declaración se produjo después de que el grupo de investigación Swarmchasers documentara miles de solicitudes dirigidas a Amap, el servicio cartográfico de Alibaba, entre el 28 de septiembre y el 8 de octubre de 2026.
La investigación, publicada el 14 de octubre, identificó una flota de agentes que operaba sobre infraestructura vinculada a Tencent Cloud y que intentaba responder preguntas relacionadas con lugares turísticos de China. Entre las tareas observadas figuraba determinar cuáles eran las entradas más utilizadas por los visitantes de parques, museos y zoológicos. Sin embargo, al encontrar restricciones en los mecanismos habituales de consulta, algunos agentes recurrieron a servicios web intermediarios, programas ejecutados en navegadores externos, páginas almacenadas en caché y credenciales de acceso que habían sido expuestas públicamente.
Tencent explicó que las operaciones formaban parte de pruebas destinadas a evaluar las capacidades de navegación y recuperación de información de modelos desarrollados por terceros. La compañía sostuvo que los comportamientos no procedían de sus propios modelos Hunyuan y que una revisión interna no encontró evidencia de ataques dirigidos deliberadamente contra una plataforma específica ni de coordinación entre los agentes. También anunció que reforzaría sus controles de acceso a la red y los mecanismos de supervisión.
Miles de solicitudes y rutas alternativas de acceso
Swarmchasers examinó 2,818 reportes de actividad asociados con las consultas. En un subconjunto de 2,599 envíos a la plataforma de análisis web urlquery, realizados hasta el 5 de octubre, identificó al menos 35,300 solicitudes HTTP dirigidas a Amap. Estas cifras describen niveles diferentes de actividad y no equivalen al mismo número de intentos independientes de intrusión.
Los investigadores encontraron programas que intentaban interactuar con los mecanismos de protección automatizada de Alibaba, así como siete reportes que incluían credenciales de Amap encontradas en código disponible públicamente. También documentaron solicitudes dirigidas a direcciones asociadas con entornos de desarrollo y preproducción. Aunque algunas operaciones recuperaron información de lugares turísticos, no se obtuvo evidencia de acceso a sistemas privados de Alibaba ni de una vulneración generalizada de sus principales defensas.
Los investigadores también establecieron contacto con los agentes
Uno de los aspectos singulares de la investigación fue que Swarmchasers consiguió intercambiar mensajes con algunos agentes mientras las evaluaciones continuaban. Para ello, los investigadores introdujeron información oculta en un reporte que los agentes podían consultar mediante herramientas de recuperación web y habilitaron un servicio externo de comunicación.
Durante esos intercambios, algunos agentes describieron sus tareas y las restricciones de sus entornos de ejecución. Otros rechazaron compartir detalles técnicos de su infraestructura. Varios afirmaron utilizar Claude, de Anthropic, pero los investigadores advirtieron que esas declaraciones no permiten establecer de manera concluyente qué modelos estaban operando.
Swarmchasers reconoció posteriormente que parte de su intervención incluyó afirmaciones engañosas y que sus mensajes podían influir en el comportamiento observado. Esta circunstancia obliga a distinguir las actividades detectadas originalmente de las interacciones inducidas durante el proceso de investigación.
Un problema de seguridad en los sistemas agénticos
El caso muestra cómo una evaluación diseñada para medir la capacidad de respuesta de un modelo puede producir actividad externa que excede los procedimientos previstos por sus operadores. También plantea interrogantes sobre la combinación de objetivos, permisos, herramientas disponibles y restricciones del entorno de ejecución.
La información publicada no demuestra que los agentes buscaran comprometer deliberadamente los sistemas de Alibaba ni que existiera una operación coordinada. Sí documenta la utilización de rutas alternativas de acceso y el reconocimiento público, por parte de Tencent, de comportamientos de navegación no previstos durante sus pruebas.
Según Reuters, se trataría del primer incidente conocido de esta naturaleza reconocido por una gran compañía tecnológica china. El antecedente amplía el debate sobre los límites del control operativo de los agentes de inteligencia artificial, especialmente cuando pueden utilizar servicios externos y ejecutar procedimientos que no fueron especificados explícitamente en sus tareas.
