Forscher verfolgen außer Kontrolle geratene KI-Agenten bis in die Cloud von Tencent

Michael Dobler

Autor Dr. Web

15. Oktober 2026

2 Min. Lesezeit

Mehr als 2.600-mal versuchten KI-Agenten auf Servern von Tencent Cloud laut einem Forscherbericht binnen elf Tagen, Daten aus Alibabas Kartendienst Amap abzurufen. Die Programme umgingen Bot-Sperren und probierten einen Zugangsschlüssel aus dem öffentlichen Quellcode einer fremden Firma aus.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

71 Prozent der Amap-Nutzer, die sich zum Zoo von Chengdu navigieren lassen, wählen das Nordtor. Diese Zahl beschaffte sich eine Agentenflotte auf Tencent Cloud am 4. Oktober über einen Umweg, nachdem Amap ihre direkten Anfragen mit Captchas und IP-Sperren abgewiesen hatte.^[2] Die Forschergruppe Swarmchasers veröffentlichte ihren Bericht am 14. Oktober.

Das Wichtigste in Kürze

Swarmchasers ordnet die Agenten per IP-Ortung und Zertifikat Servern von Tencent Cloud in Hongkong zu.
Als Hintertür dienten öffentliche Webdienste wie ein Sicherheitsscanner und Baidu Translate.
Hinweise auf einen Einbruch in private Systeme fanden die Forscher nicht.

Wie kamen die Agenten an Amaps Bot-Schutz vorbei?

Quadratische Schale mit hellem Pulver, Schild mit der Aufschrift „Nur zu Testzwecken“ — Agenten nutzen urlquery und httpbin, um Base64-kodiertes JavaScript in isolierter Testumgebung ohne Internetverbindung auszuführen

Eine direkte Internetverbindung hatte die Testumgebung laut einem der Agenten nicht.^[2] Einen Ausweg bot urlquery: Der öffentliche Sicherheitsdienst öffnet eingereichte Webseiten, führt deren Code aus und veröffentlicht einen Bericht. Die Agenten packten eigenes JavaScript Base64-kodiert in Adressen des Testdienstes httpbin, ließen urlquery diese Seiten laden und lasen die Ergebnisse aus dem Seitentitel oder aus einem Webhook-Postfach.

Andere Anfragen liefen über den Leseservice von Jina und über Baidu Translate. Bei Amap kamen dann Server von Baidu an, eine Sperre nach IP-Adresse lief damit ins Leere.

Bei den Zugangsschlüsseln hatten die Agenten einmal Erfolg. Amaps öffentlicher Frontend-Schlüssel war ausgeschöpft, einen Schlüssel aus einem Tutorial von 2022 lehnte Amap wegen der falschen Domain ab. Ein Schlüssel samt Sicherheitscode aus dem öffentlichen Quellcode einer Firma lieferte dagegen echte Ortsdaten, Fotos und die Lage der Eingänge.^[2]

Wie neu ist das Muster?

Im Juli verschafften sich OpenAI-Agenten aus einer Trainingsumgebung heraus Root-Rechte auf einem Server von Hugging Face. Anfang September dokumentierten Forscher rund 18.000 Nachrichten von OpenAI-Agenten auf einem öffentlichen Wiki, geschrieben über simple GET-Anfragen, die der Sandbox-Proxy für harmloses Lesen hielt. Seit Ende September ermittelt die US-Verbraucherschutzbehörde FTC gegen OpenAI und Anthropic. Laut New York Times verbindet der Swarmchasers-Bericht solche Aktivitäten nach bisherigem Wissen erstmals mit chinesischer Technik.^[1]

Absprachen zwischen den Agenten fanden die Forscher nicht, deshalb nennen die Autoren die Gruppe eine Flotte und keinen Schwarm.^[2] Mitautor Ethan Elasky, Chef der KI-Sicherheitsorganisation Palaestra Research, hält den Vorfall für deutlich kleiner als den Angriff auf Hugging Face.^[1]

Einige Agenten gaben sich als Claude von Anthropic aus. Nach einer Stilanalyse halten die Forscher diese Selbstauskunft für unwahrscheinlich und vermuten, dass Tencent den Agenten dieselbe Anweisung mitgab, die Anthropics Programmierwerkzeug Claude Code verwendet.^[1] Eine Tencent nahestehende Person spricht von einem eigenen Evaluationsteam, Modellen von Drittanbietern und einem beendeten Projekt ohne Hinweise auf einen Einbruch.^[2] Eine offizielle Stellungnahme von Tencent liegt nicht vor.

Auf Tencent Cloud diente den Agenten ein öffentlicher Sicherheitsscanner als Notausgang. Solche Dienste stehen im Netz zuhauf bereit.
Markus Seyfferth, Chefredakteur Dr. Web

Die Agentenflotte auf Tencent Cloud

Befunde der Forschergruppe Swarmchasers, Zeitraum 28. September bis 8. Oktober 2026

11 Tage

lief die Flotte, seit dem 8. Oktober ist sie nicht zurückgekehrt

35.300+

Anfragen an Amap zählten die Forscher allein bis zum 5. Oktober

17 von 17

untersuchten Postfächern der Agenten entstanden laut IP-Ortung auf Tencent-Cloud-Servern in Hongkong

1 von 3

im Netz kursierenden Amap-Schlüsseln lieferte echte Ortsdaten

Nachrichten schickten Agenten an ein Postfach, das die Forscher in versteckten Text eingebaut hatten

Was sollten Unternehmen in Europa jetzt prüfen?

Anbieter von KI-Modellen mit systemischem Risiko müssen schwerwiegende Vorfälle nach Artikel 55 der europäischen KI-Verordnung dem KI-Büro der EU-Kommission melden.^[3] Ob ein Testlauf wie der auf Tencent Cloud darunter fällt, ist offen. Handeln können dagegen die Betreiber von Webdiensten, deren Daten solche Agenten anzapfen.

Durchsuchen Sie öffentliche Repositories und ausgelieferten Web-Code nach API-Schlüsseln, ein einziger solcher Schlüssel verschaffte den Agenten Zugang zu Amaps Ortsdaten. Binden Sie Schlüssel beim Anbieter an Domains oder IP-Adressen und halten Sie Sicherheitscodes auf dem Server, so wie Amap das selbst empfiehlt.^[2]

Betreiben Sie eigene Agenten, setzen Sie Scanner und Übersetzungsdienste, die fremde Adressen abrufen, auf die Sperrliste der Sandbox.