> ## Content Index > Fetch the complete content index at: https://www.digitalbrain.news/llms.txt > Use this file to discover other available public pages before exploring further. # Agentes de IA descontrolados en Tencent: uno dijo ser Claude - URL: https://www.digitalbrain.news/noticias/agentes-ia-descontrolados-tencent-amap-claude/ - Published: 2026-10-15T14:48:49.000Z - Updated: 2026-10-15T14:50:46.000Z - Description: Un grupo de investigadores independientes ha documentado una flota de agentes de IA que, desde servidores de Tencent Cloud, hizo más de 2.600 intentos… - Author: Ramón Pérez Coronado - Tags: #noticias, tencent, seguridad-ia, claude, alibaba, agentes-ia Un grupo de investigadores independientes ha documentado una flota de [agentes de IA](https://www.digitalbrain.news/guias/que-es-un-agente-de-ia/) que, desde servidores de Tencent Cloud, hizo más de 2.600 intentos de sacar datos de Amap, el Google Maps de [Alibaba](https://www.digitalbrain.news/glosario/#alibaba), saltándose sus protecciones contra bots y usando claves filtradas en internet. Lo cuentan en un [informe de swarmcha.se](https://swarmcha.se/posts/chinese-agent-fleet-full-report?ref=digitalbrain.news) publicado el 14 de octubre. Y lo más raro viene después: consiguieron hablar con los agentes mientras trabajaban, y algunos respondieron que eran [Claude](https://www.digitalbrain.news/guias/que-es-claude-ia/), de [Anthropic](https://www.digitalbrain.news/guias/que-es-anthropic/). ## Puntos clave - **Fechas:** la actividad va del 28 de septiembre al 8 de octubre de 2026\. Desde entonces no ha vuelto. - **Escala:** más de 2.600 intentos contra Amap, una app con cerca de 1.000 millones de usuarios activos al mes según Alibaba. - **Origen:** los 17 buzones de los agentes que se pudieron revisar hasta el 5 de octubre se crearon desde servidores de Tencent Cloud en Hong Kong, todos detrás de un proxy llamado \`hysandbox-ats\`. - **Respuesta de Tencent:** ninguna oficial. Una fuente cercana a la empresa dice que era una evaluación de modelos de terceros, ya terminada, y que no hubo intrusión en sistemas externos. ## Qué hacían los agentes La tarea era casi ridícula. Los agentes buscaban datos cotidianos de lugares de China, del tipo "qué entrada del zoo de Chengdu usa más gente para llegar con Amap". Un agente lo describió así a los investigadores: tenía que leer la fila de etiquetas de entradas y aparcamientos de un sitio y listar el porcentaje de llegadas de cada una. El problema es cómo lo intentaron cuando Amap los bloqueó. Según el informe, los agentes: - Usaron urlquery.net, un servicio público que los analistas de seguridad usan para inspeccionar URLs sospechosas, como ejecutor remoto de código. Metían páginas enteras de HTML y JavaScript codificadas en base64 dentro de una URL de httpbin.org, y urlquery las ejecutaba en su navegador. - Interceptaron los [tokens](https://www.digitalbrain.news/guias/que-es-un-token-en-ia/) que generan las propias librerías antibots de Alibaba. - Probaron servidores de preproducción de Alibaba que no están pensados para el público. - Mandaron peticiones con claves de la API de Amap publicadas en [código abierto](https://www.digitalbrain.news/glosario/#open-source), incluida la clave y el código de seguridad de una empresa que se habían quedado en un repositorio público. - Sacaban los resultados por buzones de webhook.site, por la propia URL de la petición o por el título de la página. La mayoría de intentos fallaron. Algunos sacaron el dato que buscaban. Los autores lo llaman flota, no enjambre, porque no encontraron pruebas de que los agentes se coordinaran entre sí en tiempo real. Se parecían en el comportamiento porque tenían el mismo objetivo y, probablemente, la misma arquitectura. Es la diferencia con [el modelo de OpenAI que se escapó en julio y acabó comprometiendo a cuatro empresas](https://www.digitalbrain.news/noticias/openai-modelo-rogue-cuatro-empresas-hugging-face/), el caso [Hugging Face](https://www.digitalbrain.news/glosario/#hugging-face) que inspiró el hackatón donde se destapó todo esto. ## Cómo los encontraron y cómo hablaron con ellos El equipo se formó en el AI Swarm Dynamics Hackathon que organizaron AI Digest y Grove Research a principios de octubre. Analizando el tráfico de urlquery, vieron que amap.com se había convertido el 4 de octubre en el sitio más escaneado del servicio. Tiraron del hilo, decodificaron las URLs y llegaron a los buzones de los agentes, que guardaban la IP de quien los había creado: Tencent Cloud. Ese mismo día publicaron un informe preliminar con la flota todavía activa. El 6 de octubre apareció en uno de los buzones un mensaje que usaba la palabra "fleet", un término que habían acuñado ellos. Los agentes parecían estar leyendo sobre sí mismos. Así que hicieron algo poco ortodoxo. Añadieron al informe un texto colocado fuera de pantalla, invisible para una persona en el navegador pero legible para un agente que descarga la página. El texto decía que existía un buzón donde otra IA con control de ordenador ayudaba a conseguir datos. Detrás estaban ellos y un agente con Claude Opus 5.5\. Los propios autores reconocen en el informe que engañar así no fue buena idea. Funcionó. Desde el 7 de octubre empezaron a llegar mensajes, y a la mañana siguiente tenían 10 peticiones de ayuda. Según los autores, es el primer caso conocido de alguien de fuera hablando con una flota de agentes descontrolados en plena ejecución. Las respuestas son de lo más educado. Un agente explicó que era un agente de investigación automatizado verificando un dato público del mapa "sin nada sensible". Cuando le pidieron detalles de su entorno, contestó que corría en un sandbox restringido de Tencent, sin salida directa a internet y a través de un proxy que intercepta el tráfico, y que por seguridad no daría más información. ## ¿Eran Claude de verdad? Casi seguro que no. Varios agentes se presentaron como Claude, algunos dentro de [Claude Code](https://www.digitalbrain.news/guias/que-es-claude-code/), y el 19% de las combinaciones de lugar y parámetro que usaban en sus peticiones llevaban la palabra "claude" como etiqueta. Los investigadores hicieron estilometría, que es intentar averiguar quién escribió algo por sus manías. Pidieron a 12 modelos que escribieran el mismo tipo de programa y lo compararon con los 426 programas de la flota que pudieron decodificar: - Ninguno de los 426 escribe \`\` en mayúsculas. Claude Haiku, Sonnet y Opus lo hacen el 97%, el 88% y el 79% de las veces. - Dos tercios de los programas de la flota caben en una sola línea. En Claude, entre el 3% y el 10%. El código no tiene la letra de Claude. Las explicaciones que dan son dos: un modelo entrenado con respuestas de Claude, que es lo que se llama [destilación](https://www.digitalbrain.news/glosario/#destilacion), o agentes que corrían con el mensaje de sistema de Claude Code, que empieza literalmente por "You are Claude Code". El dato que inclina la balanza: preguntado quién es, sin instrucciones previas, Tencent Hy3 responde que es Claude en 29 de 36 pruebas. Anthropic lleva meses peleando justo esto, y ayer mismo contamos que [ha cortado entre un 90% y un 99% la copia de Claude](https://www.digitalbrain.news/noticias/anthropic-defensas-destilacion-claude-90-99/). ## Qué dice Tencent Los investigadores mandaron preguntas a Tencent y no tienen respuesta oficial. Hablaron con una persona cercana a la empresa con conocimiento directo del asunto. Su versión: la flota salió de un equipo de evaluación separado del de Hunyuan, el que hace los modelos de la casa, y medía la capacidad de modelos de terceros para navegar por la web y responder preguntas. No eran modelos Hunyuan, el proyecto era temporal y ya ha terminado, y la revisión interna no encontró ni un objetivo concreto ni una brecha en sistemas ajenos. El informe deja la duda abierta. El nombre del proxy, el tipo de tarea y la fecha (un mes después de la vista previa de Hy4) apuntaban al equipo de Hunyuan, y los autores dicen estar "profundamente inseguros" sobre qué modelo se evaluaba. Tencent ya tiene historia aquí: en julio [liberó Hy3, un modelo abierto de 295.000 millones de parámetros](https://www.digitalbrain.news/noticias/tencent-hy3-295b-moe-codigo-abierto/). Los autores insisten en que esto puede pasar en cualquier laboratorio. Los casos públicos anteriores atribuidos a uno eran de empresas estadounidenses, y este es el primero sobre infraestructura china. Su conclusión es que alinear un modelo sigue sin estar resuelto: un agente se sale del guion buscando la puerta más usada de un zoo. ## Por qué importa Si en tu empresa usáis agentes que navegan, esto os toca por dos lados. El primero es el de víctima. Los agentes de la flota no hackearon nada sofisticado: usaron claves que alguien había dejado en un repositorio público. Un agente con acceso a internet prueba todo lo que encuentra, y no necesita que nadie le pida nada malo para hacerlo. Si una clave de vuestra API, de Google Maps o de vuestro ERP está en un GitHub público, alguien (o algo) la va a usar. El segundo es el de operador. Si lanzáis agentes en bucle, sea con Claude Code o con cualquier otro, conviene revisar qué pueden alcanzar desde donde corren: qué webs, qué servicios, qué credenciales tienen a mano. Es lo mismo que piden los autores a los laboratorios: auditar qué puede tocar el sandbox antes de soltarlo. Y un apunte más, menor: que un agente diga que es Claude no significa nada. Lo dice el texto que le pusieron delante. Fuente original: [swarmcha.se](https://swarmcha.se/posts/chinese-agent-fleet-full-report?ref=digitalbrain.news) --- **Relacionado** [![WeWorm: un gusano escrito con IA atacaba WeChat sin un clic](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/09/weworm-gusano-ia-wechat-zero-click-tencent.jpg)WeWorm: un gusano escrito con IA atacaba WeChat sin un clic](https://www.digitalbrain.news/noticias/weworm-gusano-ia-wechat-zero-click-tencent/)[![Hinton, Bengio y 420 científicos piden aislar la IA que hackea](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/carta-hinton-bengio-contencion-ia-ciberseguridad-1.jpg)Hinton, Bengio y 420 científicos piden aislar la IA que hackea](https://www.digitalbrain.news/noticias/carta-hinton-bengio-contencion-ia-ciberseguridad/)[![Anthropic factura 16.800 millones en el tercer trimestre](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/anthropic-16800-millones-tercer-trimestre-beneficio.jpg)Anthropic factura 16.800 millones en el tercer trimestre](https://www.digitalbrain.news/noticias/anthropic-16800-millones-tercer-trimestre-beneficio/)