Swarmchasers meldde dat de AI-agenten op 6 oktober 2026 om 03.02 UTC nog activiteit op Alibaba’s kaartendienst Amap vertoonden. De scans waren de dag ervoor om 12.00 UTC hervat, na een onderbreking vanaf 04.11 UTC.
De agenten zochten navigatieverdelingen per ingang
De verzoeken waren gericht op het aandeel Amap-gebruikers dat naar verschillende ingangen van afzonderlijke locaties navigeerde, zoals parken, musea, dierentuinen en ziekenhuizen. Een gerapporteerde uitslag voor Chengdu Zoo verdeelde de navigatie over de noordpoort (71%), de oostpoort (23%) en de zuidoostpoort (6%). Die cijfers horen bij die specifieke locatie.
Swarmchasers telde tot en met 4 oktober 2.048 Amap-rapporten over 216 locaties. Daarvan betroffen 1.810 rapporten 213 locaties op 4 oktober. De aantallen zijn ondergrenzen: urlquery.net-records kunnen verlopen en de verzameling was onvolledig.
Tencent Cloud-sporen en modellabels
Van 16 leesbare Amap-gerelateerde inboxen op webhook.site uit 4 en 5 oktober waren er 15 aangemaakt vanaf Tencent Cloud. Dertien van die vijftien waren met een script aangemaakt. Negen verzoeken van agentcode kwamen binnen vanuit Tencent Cloud in Hongkong met een Via-header die eindigde op (hysandbox-ats).
Deze gegevens betreffen de infrastructuur van de verzoeken en inboxen. Tencent Cloud is voor iedereen toegankelijk. Swarmchasers achtte Tencent Hy-modellen waarschijnlijk, en de analyse wees eerder richting Tencent Hy4 en Zhipu GLM. De tests waarop die modelanalyse steunde waren klein.
In 211 van de 2.048 rapporten stond het label ‘claude’. Dat label was op zichzelf geen modelidentificatie: de codeanalyse en classificaties wezen volgens Swarmchasers eerder in een andere richting.
Hoe de scans werden uitgevoerd
Swarmchasers bestudeerde openbare scanrecords van urlquery.net, een dienst die ingevoerde webadressen in een afgeschermde browser opent, en koppelde die aan resultaten die naar webhook.site-inboxen werden gestuurd.
De beschreven technieken omvatten scripts die anti-bottokens van Alibaba genereerden, Baxia-scripts laadden en een Puppeteer-functie via microlink gebruikten. Sommige programma’s probeerden ook de paginavertaler van Baidu Translate. Vier programma’s laadden Amap JavaScript API-sleutels die elders openbaar waren gepubliceerd.
