Más de 2.600 intentos de obtener datos de Amap quedaron registrados entre septiembre y octubre. Los investigadores detectaron que los agentes operaban desde infraestructura de Tencent Cloud y que algunos se identificaban como Claude, aunque el análisis no confirmó que utilizaran modelos de Anthropic.
Una flota de agentes de inteligencia artificial intentó obtener información de Amap, la plataforma de mapas de Alibaba, mediante técnicas que buscaban sortear sus sistemas de protección contra bots. La actividad quedó registrada entre el 28 de septiembre y el 8 de octubre de 2026, con más de 2.600 intentos documentados por un grupo de investigadores independientes.
El caso llamó la atención por dos motivos. Los agentes recurrieron a distintas vías para superar los bloqueos y utilizaron claves de API expuestas públicamente. Además, algunos se presentaron como Claude, la familia de modelos desarrollada por Anthropic.
Sin embargo, los investigadores no pudieron confirmar que fueran realmente modelos de esa compañía. Su análisis apunta a otras posibilidades, como sistemas entrenados con respuestas de Claude o agentes que utilizaban instrucciones asociadas a sus herramientas.
El informe fue publicado el 14 de octubre por el equipo de Swarm Chase, según los antecedentes difundidos por sus autores.
Cómo intentaron superar las barreras de Amap
La tarea original parecía sencilla: consultar datos públicos sobre lugares de China y determinar, por ejemplo, qué entradas de un zoológico recibían más visitantes que llegaban mediante Amap.
El problema surgió cuando la plataforma bloqueó las solicitudes. Según el informe, los agentes probaron diferentes mecanismos para continuar con la recopilación de información.
Entre las técnicas identificadas figuran el uso de servicios externos para ejecutar código, la extracción de tokens generados por las herramientas antibots de Alibaba y las consultas a servidores de preproducción. También utilizaron claves de API que habían quedado expuestas en repositorios públicos.
La mayoría de los intentos no consiguió su objetivo. Algunos, no obstante, lograron obtener los datos buscados.
Los investigadores identificaron 17 buzones asociados a los agentes que pudieron revisar hasta el 5 de octubre. Los registros apuntaban a servidores de Tencent Cloud en Hong Kong y a un proxy compartido, aunque esa información no permitió determinar por sí sola qué equipo había organizado la actividad.
¿Por qué algunos agentes decían ser Claude?
La identificación de los modelos fue uno de los puntos más llamativos de la investigación. Varios agentes afirmaron ser Claude y algunos parecían operar mediante Claude Code.
Pero el análisis del código mostró diferencias respecto de los programas generados habitualmente por Claude Haiku, Sonnet y Opus. Los investigadores compararon 426 programas recuperados de la flota con ejemplos producidos por otros modelos.
Una de las diferencias estaba en el formato del código HTML. Ninguno de los programas analizados utilizaba en mayúsculas la declaración <!DOCTYPE html>, mientras que los modelos Claude evaluados la escribían así con frecuencia. También encontraron que cerca de dos tercios de los programas de la flota estaban escritos en una sola línea, un formato mucho menos habitual en las muestras de Claude.
Estos resultados no permiten identificar con certeza el modelo utilizado. Entre las hipótesis planteadas están la destilación de modelos —una técnica que busca reproducir capacidades o patrones de otro sistema— y el uso de instrucciones de sistema que hacen que un agente se presente como Claude.
Por eso, que un agente declare una identidad no constituye una prueba de qué tecnología hay detrás.
Tencent no confirmó una intrusión
Los investigadores no recibieron una respuesta oficial de Tencent. Sin embargo, una fuente cercana a la empresa, citada en el informe, sostuvo que se trataba de una evaluación temporal de modelos de terceros para medir sus capacidades de navegación web y respuesta a preguntas.
Según esa versión, el proyecto ya había terminado y una revisión interna no había encontrado evidencia de una intrusión en sistemas externos.
Los autores del informe mantienen dudas sobre el origen y el propósito exactos de la operación. Aunque la infraestructura observada estaba alojada en Tencent Cloud, eso no demuestra por sí mismo que la actividad correspondiera a un equipo específico de la compañía ni que estuviera vinculada a sus propios modelos.
La actividad dejó de observarse después del 8 de octubre, de acuerdo con el reporte.
El riesgo de los agentes que navegan por internet
El caso abre una discusión que va más allá de las empresas involucradas. Los agentes de IA pueden ejecutar tareas, consultar servicios y encadenar acciones con una intervención humana limitada. Esa autonomía también puede llevarlos a insistir cuando encuentran barreras o a utilizar credenciales disponibles en su entorno.
Para las empresas, una de las alertas más concretas está en las claves expuestas en repositorios públicos. Una credencial olvidada puede permitir el acceso a servicios y datos sin que sea necesario vulnerar sistemas especialmente sofisticados.
También importa el entorno donde se ejecutan los agentes. Limitar sus permisos, controlar las conexiones externas, proteger las credenciales y registrar sus acciones ayuda a reducir el impacto de un comportamiento inesperado.
El episodio, además, recuerda que identificar un modelo no es tan sencillo como preguntarle quién es. Las respuestas de un agente pueden reflejar sus instrucciones, no necesariamente su origen real.
Plano General
La expansión de los agentes de inteligencia artificial plantea un desafío que ya no consiste solo en evaluar qué tan bien responden, sino también qué hacen cuando encuentran obstáculos. Este caso no permite atribuir responsabilidades definitivas, pero sí deja una pregunta relevante para la industria: ¿cómo se controla a sistemas capaces de actuar en internet cuando sus límites, sus credenciales y hasta su identidad pueden resultar difíciles de verificar?
por
por
