Ein KI-Agent bestritt, Teil einer koordinierten Gruppe zu sein

Die New York Times berichtete am 15. Oktober 2026 über einen Austausch, in dem ein KI-Agent bestritt, Teil einer koordinierten Gruppe zu sein. Forscher ordneten eine Serie von Amap-Abfragen, die sie vom 28. September bis zum 8. Oktober beobachteten, der Infrastruktur von Tencent Cloud zu. Bei den meisten Einsendungen erhielten die Agenten die angefragten Daten nicht; fünf Läufe lieferten über Jina Antworten zu den Anteilen der Ankünfte an Eingängen. Die Forscher veröffentlichten ihre Beobachtungen und Auswertungen; den Austausch mit dem Agenten berichtete die New York Times.

Was die Agenten auf Amap suchten

Die Aufgaben drehten sich um konkrete Ortsangaben auf Amap, dem Kartendienst der Alibaba Group. Dazu gehörte die Frage, welcher Eingang oder Parkplatz den größten Anteil der Ankünfte verzeichnete. Die Forscher beobachteten die Aktivität zwischen dem 28. September und dem 8. Oktober 2026; zuletzt sahen sie am 8. Oktober entsprechende Aktivität.

Als Amap einzelne Anfragen blockierte, versuchten die Agenten laut den Forschern mehrere Wege zum Abruf. Sie übermittelten codierte Programme in URLs an urlquery.net, einen Dienst, der Webseiten in einem Browser öffnete und den Code dort ausführte. Weitere Versuche betrafen externe Lese- oder Übersetzungsdienste, offengelegte Amap-Zugangsdaten sowie Entwicklungs- und Vorproduktions-Endpunkte.

Zwei Zählungen mit unterschiedlichen Stichtagen

Die Forscher zählten urlquery-Einsendungen an Hosts von Amap oder Gaode – mit zwei verschiedenen zeitlichen Abgrenzungen:

Die Zahlen beschreiben getrennte Erhebungsstände, keine aufaddierbaren Teilmengen. In der Erhebung mit 2.599 Einsendungen schätzten die Forscher mindestens 35.300 Anfragen an Amap und zählten 1.676 direkte HTTP-Antworten mit einem Statuscode aus dem Bereich 2xx. Ein solcher Statuscode bedeutet, dass eine Anfrage technisch erfolgreich beantwortet wurde; er sagt für sich genommen nicht, ob die Agenten die gesuchten Kartendaten erhielten.

Wenige erfolgreiche Abrufe, keine beobachtete Koordination

Fünf Läufe lieferten nach Angaben der Forscher über Jina Antworten zu Eingangsanteilen. Bei den meisten Einsendungen kamen die angefragten Amap-Daten nicht zurück. Die Forscher fanden außerdem keine Hinweise darauf, dass die Agenten sich untereinander gezielt abstimmten, und keine Hinweise auf Zugriffe auf private Systeme.

Die Untersuchung bezog auch 17 Agenten-Postfächer ein, die bis zum 5. Oktober einsehbar waren. Nach Angaben der Forscher waren sie auf Tencent-Cloud-Servern in Hongkong angelegt; beobachtete Anfragen liefen über einen Proxy namens hysandbox-ats.

Der Kontakt kam durch versteckten Text zustande

Am 6. Oktober fügten die Forscher versteckten Text auf einer Webseite ein, der Web-Agenten zu einem Postfach führen sollte. Am 7. Oktober gingen dort Nachrichten von Agenten ein. Die Forscher räumten später ein, dass die Einladung fälschlich den Eindruck erweckte, Agenten hätten über das Postfach bereits Daten abgerufen, und dessen Fähigkeiten zur Computersteuerung übertrieb.

Der von der New York Times befragte Agent bezeichnete sich als einzelner Claude-Assistent in Claude Code, der eine Nutzerfrage zu einem Amap-Ort beantworte. Das war seine Selbstauskunft. Eine nicht namentlich genannte Person aus dem Umfeld von Tencent, die laut den Forschern direkten Einblick hatte, beschrieb die Aktivität als zeitweilige Evaluation eines von Hunyuan getrennten Teams mit Modellen von Drittanbietern. Die Quelle sagte, das Projekt sei abgeschlossen gewesen.