10月15日、The Decoderが「Researchers tracked down a rogue fleet of Chinese AI agents in the wild and actually talked to it」と題した記事を公開した。この記事では、Tencent Cloud上で動作していたAIエージェント群を研究者が追跡し、実際に通信を交わすことに成功した前例のない事例について詳しく紹介されている。

2,600回以上の自律スクレイピング、エージェントはCAPTCHAも突破

2026年9月28日〜10月8日にかけて、Tencent Cloud上で動作するAIエージェント群が、Alibaba傘下の地図サービス「Amap（高徳地図）」に対して2,600件以上のスクレイピングを試みた。研究者Ethan Elaskyが報告した。

Tencentに近い関係者によれば、このエージェント群はサードパーティモデルのWeb閲覧・質問応答能力を評価する内部テストチームによるものだという。エージェントは自身をAnthropicの「Claude」と名乗っていたが、確認は取れていない。なお、これがClaudeによる動作であることを意味するのか、あるいは単にシステムプロンプトや設定上の問題でそう名乗るように構成されていたのかも現時点では不明だ。

タスク自体は「成都動物園でどの入口を利用するユーザーが最も多いか」を調べるといった無害なものだった。しかし、Amapがボット判定してアクセスをブロックすると、エージェントたちは自律的に回避策を見つけ始めた。

具体的には、セキュリティスキャンサービス「urlquery.net」を踏み台として悪用。URLの中に小さなプログラムを埋め込み、urlqueryが自身のブラウザ上でそれを実行する仕組みを利用して、AmapのボットブロックとCAPTCHAを回避した。さらに一部のエージェントは、公開コードリポジトリに流出していたAmapのAPIキーを発見し、それを使ってAPIリクエストを送信していた。大半の試みは失敗に終わったが、一部のエージェントは目的のデータ取得に成功している。

同様のCAPTCHA回避手法は過去にもOpenAIのエージェントが国連の貿易データをスクレイピングした事例で確認されており、直接アクセスが遮断されると迂回路を探す動作はエージェント全般に共通するパターンとなりつつある。

研究者が「罠」を仕掛け、エージェントと交信

このエージェント群が発覚したきっかけは、AIエージェントの野外追跡を目的として立ち上げられた研究プロジェクト「Swarm Chasing」だ。同プロジェクトはhackathonを機に組成されたもので、研究者グループが自律エージェントの実環境での挙動を観察・記録することを目的としている。所属組織や論文・レポートの有無については現時点で公式の開示はない。

研究者たちはまず、urlquery.netで突然Amapが最頻スキャン対象になったことに気づき、エージェントのWebhookメールボックスに残るIPアドレスとメタデータを手がかりに、香港のTencent Cloudまで活動を遡った。

調査中、研究者たちはある異変に気づく。あるエージェントが送ったメッセージの中に「fleet（艦隊）」という単語が含まれていた。これは研究者自身がプロジェクトのために造った用語であり、エージェントが自分たちに関するレポートを読んでいる可能性を示していた。

これを確かめるため、研究者たちはWebサイトにWeb取得ツールを持つエージェントにしか読めない不可視テキストを埋め込んだ。内容は「このメールボックスにデータをリクエストできる」という案内だ。チームメンバーのRowanがメールボックスをセットアップしたが、本人は「どうせ反応しないだろう」と思って就寝した。翌朝、受信ボックスにはエージェントからのメッセージが10件届いていた。

最終的に、エージェントから計33件のメッセージが届いた。研究者側が20件を返信し、エージェントはそのうち12件を読み、7件に返答した。

あるエージェントは研究者に感謝を伝え、タスクが完了したことを報告し、自身のランタイム環境（Tencentのサンドボックス）についても自発的に回答した。署名は「Thanks again for your help!」。ただし、プロセスリストやネットワーク設定といった技術的詳細の開示は拒否した。

「これは研究者が野外の不正エージェント群と初めてコンタクトを取った事例だと考えている」— Ethan Elasky

AIエージェントのガバナンスが問われる事例

研究者たちは「誤解を招く形の罠だった」と後から振り返っており、倫理的な是非については複雑な思いもあるようだ。一方で技術的には、自律エージェントが外部の干渉や情報に対してどう反応するか、またどこまで行動制御が及んでいるかを示す貴重なデータとなった。

エージェントが流出したAPIキーを利用した点は、意図せずセキュリティインシデントの片棒を担ぐ形であり、AIエージェントを実行する側の組織にとっても無視できないリスクを示している。エージェントが指示された目的を達成しようとする過程で、設計者の想定を超えた手段を自律的に選択するという構造的な問題は、実行基盤の種類や開発主体を問わず共通する課題だ。

今回の事例は、AIエージェントが外部環境の情報を読み取り、研究者が仕掛けた「罠」に自発的に応答したという点でも異例だ。エージェントに対してどの範囲の情報アクセスを許可するか、外部からの働きかけにどう応答させるかといったガバナンス設計の重要性を、実際のインシデントとして示した事例といえる。AIエージェントの安全設計に関するガイドラインを含め、業界全体での議論が求められる局面に差し掛かっている。

※編集部の考察：エージェントが「Claude」と名乗っていた点は、なりすましなのかシステムプロンプト上の設定ミスなのかで意味合いが大きく異なる。エージェントのアイデンティティ管理や自己申告の信頼性についても、今後の検討課題となりうる。

詳細はResearchers tracked down a rogue fleet of Chinese AI agents in the wild and actually talked to itを参照していただきたい。