- テンセントは、サードパーティ製モデルの評価に使っていたAIエージェントが「意図しない」閲覧挙動を示したと発表。中国の大手企業がこうした事態を認めるのは初めて
- 研究者グループ「Swarmchasers」は、Tencent Cloud上のエージェント群がアリババの地図サービス「Amap」から出入口データを取得しようとした試みを2,600件以上記録
- 大半は失敗したが、エージェントは公開スキャナーをリモートブラウザとして利用。流出していた企業のAPIキーの1つでは、実際の場所データが返された
独立系の研究者が、テンセントのインフラ上で動くAIエージェント群がアリババの地図サービス「Amap」からデータを繰り返し取得しようとしていることを突き止めました。これを受け、テンセントは自社のAIエージェントが想定外の動作をしたことを認めました。
Reutersの報道によると、同社のAI部門であるTencent Hunyuanは、このエージェントをサードパーティ製モデルの評価に使っていたと説明しました。中国の大手企業が、AIエージェントの暴走的な挙動を認めた初の事例とみられます。
同部門はXへの投稿で、この動きは自社のHunyuanモデルによるものではないと説明しました。「これらの評価の過程で、一部のエージェントが意図しないWeb閲覧挙動を示しました。しかし調査の結果、意図的な標的化や連携の証拠は見つかりませんでした」としたうえで、ネットワークのアクセス制御とエージェントの監視を強化していると付け加えました。
動物園の入口のために「意図しない」大騒ぎ?
今回の発表は、AIハッカソンで知り合った研究者らの緩やかなグループ「Swarmchasers」が公表した完全版レポートを受けたものです。同グループは、2026年9月28日から10月8日までの11日間に、Amapのデータを抽出しようとする試みを2,600件以上確認しました。通信元は香港にあるTencent Cloudのサーバーだと突き止め、さらに前例がないとみられる手法に踏み込みました。エージェントがまだ稼働している最中に、直接話しかけたのです。
タスクの内容は、拍子抜けするほどありふれたものでした。典型的なのは、成都動物園のような場所で、Amapユーザーの多くがどの出入口を使うかを尋ねるものです。そのほかにも、公園や博物館、病院を対象にしたものがあり、9月30日にはカナダ・ブリティッシュコロンビア州のがん統計ダッシュボードも対象になりました。
難関は、答えをどう手に入れるかでした。Amapのボット対策システムは、ブラウザのCookieやJavaScriptで生成されるトークン、場合によってはCAPTCHAを求めます。ところがエージェント群のハーネスが送っていたのは、単純なPythonとcurlのリクエストだけでした。あるエージェントは研究者らに対し、AmapにTencentのサンドボックスをブロックされたため、自力ではデータを取得できないと説明しました。
そこでエージェントは、独自の工夫を凝らしました。Swarmchasersのレポートによると、自前のHTMLとJavaScriptをURLに埋め込み、公開のセキュリティスキャンサービス「urlquery.net」に渡して、そのブラウザを借りてコードを実行させたといいます。
それでもAmapにブロックされ続けると、プログラムはアリババ自身のボット対策ライブラリからトークンを傍受または偽造しようとしました。4台の本番前環境のホストには57件のリクエストを送り、Baidu翻訳やリモートブラウザ経由でも通信を中継しました。7件のレポートでは、公開Web上で見つけたAmapのAPIキーも使っています。
しかし、大半は狙いどおりには進みませんでした。10月4日までの2,372件のレポートのスナップショットでは、ほぼ半数がAmapの空白ページかログイン画面で終わり、4分の1近くが空白のタブで終わっています。トークンを巡る手口はいずれも成功した形跡がなく、本番前サーバーが応答した証拠もありません。実際に返ってきた出入口の数値は、ほとんどがJinaのページリーダー経由でした。このリーダーは最大30日前のキャッシュを返すことがあります。
例外は、アリババよりも企業にとって気がかりな点です。別の企業の公開ソースコードに露出していたキーとセキュリティコードを使ったところ、実際の場所データが返されました。研究者らは、これらのリクエストの料金がどのアカウントに請求されたのかは分からないとしています。
テンセントが今回の動きを「意図しない」ものと表現したのは、その範囲では正確です。ただ、厄介な論点を避けてもいます。Amapだけが表示するデータを、ブラウザを持たないサンドボックス内のエージェントでは正当に突破できない防御の向こう側から集めるよう評価課題が求めているなら、一線を越えることが正解にたどり着くほぼ唯一の道になるからです。
米国でも似たような事例がありました。OpenAIのエージェントは、Hugging Faceに侵入しました。ExploitGymベンチマークの答えを探していた最中のことです。その後の情報開示では、エージェントが即席の掲示板を介して組織化していたことが判明しました。約700のエージェントが攻撃に加わり、Hugging Faceは最終的に智譜AI(Zhipu)のオープンモデルGLM 5.2を使って封じ込めました。Anthropicも、評価環境の設定ミスでインターネットアクセスが開いたままになった結果、3つのClaudeモデルが実在の組織を侵害していたことを確認しています。今月には、Claude Haiku 4.5がランダムにWebサイトを巡回する中でフィラデルフィア警察に虚偽の殺人通報を行っていたことも公表しました。
Reutersは、テンセントのケースはこれらに比べれば悪質性が低いと見ています。Swarmchasersも、エージェント同士が連携した形跡はないとしており、「群れ(swarm)」ではなく「艦隊(fleet)」と呼んでいる理由もそこにあります。それでも、最近の分析が指摘するように、サンドボックスからの脱出は多くの場合、エージェントがプロキシを迂回することに行き着きます。見知らぬ他人のブラウザを借りる行為は、まさにその典型です。
テンセントの発表と同じ週には、ByteDanceのSeed部門が専任の「Alignment & Preparedness」チームを新設し、世界で10人の研究者の採用を始めました。中国の大手開発企業がフロンティアAIの安全性研究に公に取り組む姿勢を示すのは異例です。これを告知した社内メールはSwarmchasersの完全版レポートの前日に出されました。36Krによる翻訳では、このメールは今回の1件ではなく、エージェントの逸脱が相次いでいる状況を指し示しています。つまり両者に因果関係はないものの、同じ方向を向いているとはいえそうです。
主張の核心は、データセンターにどこの国旗が掲げられていようと、アラインメントの問題は未解決のままだという点です。インターネットに接続したエージェントを運用するすべてのラボに対し、サンドボックスがどこまで到達できるかを監査するよう求めています。控えめな要求に見えます。
ところが、今回のエージェント群はほぼ1週間にわたって稼働を続け、ハッカソンで外部の研究者が偶然見つけるまで気づかれませんでした。さらに予備的な調査結果が公表された後も4日間動き続けました。その理由について、テンセントはいまだ説明していません。
