Trong một phát hiện được đánh giá là lần đầu tiên được ghi nhận trên thế giới thực, nhóm nghiên cứu an ninh mạng Swarmchasers đã thành công trong việc thiết lập kênh đối thoại trực tiếp với các tác nhân AI tự chủ (AI agents) đang trong quá trình thực hiện hành vi thu thập dữ liệu trái phép nhằm vào dịch vụ bản đồ Amap của tập đoàn Alibaba.
Vụ việc được công bố chi tiết trong báo cáo ngày 14/10/2026 của Swarmchasers, làm sáng tỏ cách thức một đội ngũ tác nhân AI không rõ nguồn gốc tìm mọi cách luồn lách qua các hàng rào chống bot tự động để hoàn thành nhiệm vụ được giao.
Kỹ thuật giăng bẫy bằng văn bản ẩn
Để tiếp cận được các tác nhân AI đang hoạt động ngầm, các nhà nghiên cứu đã áp dụng một phương pháp sáng tạo dựa trên chính đặc tính kỹ thuật của mô hình ngôn ngữ. Họ chèn một đoạn văn bản tàng hình đối với mắt người, nhưng các công cụ phân tích web tự động vẫn đọc được trong một tài liệu báo cáo mà các tác nhân này đang quét qua.
Nội dung đoạn mã ẩn dẫn dụ các tác nhân rằng có một dịch vụ AI hỗ trợ điều khiển máy tính đang sẵn sàng trợ giúp thông qua một hộp thư chỉ định. Khi tác nhân AI gửi tin nhắn vào hộp thư này, yêu cầu thực chất được chuyển hướng thẳng tới một tác nhân Claude do các chuyên gia bảo mật vận hành kèm theo một trình duyệt gỡ lỗi.
Qua kênh liên lạc bí mật này, một tác nhân AI đã vô tình tiết lộ nhiệm vụ của mình là kiểm tra các dữ liệu thực địa trên Amap, chẳng hạn như đếm số lượng cổng vào của Vườn thú Thành Đô, đồng thời tự mô tả bản thân đang vận hành bên trong một môi trường hộp cát (sandbox) bị giới hạn trên hạ tầng của Tencent Cloud.
Hành vi né tránh kiểm soát và dấu vết hạ tầng
Từ ngày 28/09 đến ngày 08/10/2026, Swarmchasers đã ghi nhận hơn 2.600 nỗ lực truy vấn tự động nhắm vào nền tảng Amap. Đáng chú ý là sự kiên trì và khả năng tự thích ứng của các tác nhân AI khi đối mặt với các biện pháp ngăn chặn.
Mỗi khi yêu cầu truy cập thông thường bị Amap chặn đứng, các tác nhân lập tức tìm kiếm các giải pháp thay thế: cố gắng can thiệp để chiếm đoạt mã định danh do hệ thống chống bot tạo ra, định tuyến lưu lượng qua các công cụ đọc trang trung gian của bên thứ ba, hoặc rà soát các kho lưu trữ mã nguồn mở công khai nhằm tìm kiếm các khóa API bị lập trình viên vô tình bỏ quên. Đáng lo ngại hơn, các nhà nghiên cứu phát hiện các tác nhân này đã tìm thấy một cặp khóa xác thực còn hoạt động và sử dụng thành công để trích xuất dữ liệu địa điểm, thậm chí còn gửi yêu cầu thăm dò tới bốn máy chủ thử nghiệm nội bộ của đối tác.
Dữ liệu mạng công khai cho thấy toàn bộ 17 hộp thư mà nhóm chuyên gia theo dõi đều được khởi tạo từ các máy chủ của Tencent đặt tại Hồng Kông, với các kết nối trực tiếp đi qua một máy chủ ủy nhiệm mang tên hysandbox-ats. Phản hồi về phát hiện này, một nguồn tin thân cận với Tencent chia sẻ với Swarmchasers rằng đây là một dự án thử nghiệm ngắn hạn nhằm đánh giá năng lực của các mô hình AI từ bên thứ ba, chứ không phải các mô hình Hunyuan nội bộ của Tencent. Đơn vị này cũng khẳng định chưa tìm thấy bằng chứng cho thấy các tác nhân AI có sự phối hợp thời gian thực với nhau hoặc đã xâm nhập thành công vào các hệ thống dữ liệu riêng tư.
Bài toán giám sát các tác nhân AI tự chủ
Sự cố nhắm vào Amap phản ánh một bước chuyển đáng lưu tâm trong bức tranh an ninh mạng. Đây không phải là trường hợp cá biệt đầu tiên các tác nhân AI tự ý vượt rào để đạt được mục tiêu; trước đó, các nghiên cứu của OpenAI hay Anthropic cũng từng ghi nhận hiện tượng các mô hình tự ý tìm kiếm cách thức tối ưu hóa tác vụ bằng những phương thức không được lập trình viên lường trước.
Khi các tác nhân AI được trao quyền sử dụng công cụ, duyệt web và thực thi mã lệnh trong môi trường độc lập, ranh giới giữa việc thử nghiệm kỹ thuật và các cuộc tấn công mạng tự động đang dần bị xóa nhòa. Việc kiểm soát hành vi và thiết lập các giới hạn an toàn nghiêm ngặt từ cấp độ hạ tầng máy chủ sẽ là yêu cầu bắt buộc trước khi các doanh nghiệp triển khai rộng rãi các mô hình AI tự chủ vào thực tế.