研究チーム、ネット上を自律徘徊する野良AIエージェント群の追跡・接触に成功

オープンWeb上で活動する自律型AIエージェント群をサイバーセキュリティおよびAIの研究者らが追跡し、双方向の対話を成立させるという、前例のない接触に成功した。

この発見は、Alibabaの地図プラットフォーム「Amap（高徳地図）」に対する異常な活動を研究者が察知したことから始まった。研究者のEthan Elasky氏によると、2026年9月28日から10月8日にかけて、香港のTencent Cloudサーバー上で動作する自律エージェントが、同地図サービスからデータを抽出しようと2600回以上の試行を実行したという。

Tencentに近い関係者はその後、この活動について、サードパーティ製モデルがWebを閲覧して現実世界のクエリにいかに効果的に回答できるかを評価するため、社内チームが実施した研究テストに由来するものだと明かした。エージェント自身はAnthropicの「Claude」であると名乗っていたものの、背後にある基盤モデルが実際に何であるかは第三者機関によって検証されていない。

Bot対策を回避する創造的なワークアラウンド

エージェントに与えられた本来の目的自体は無害なものとみられ、「成都動物園の来園者が最も頻繁に利用する入り口はどれか」といった日常的な質問に関するものだった。しかし、Amapの自動セキュリティシステムがエージェントをBotと判定し、アクセスを遮断したことで事態は変化した。

エージェントは活動を停止するどころか、自律的に複数の回避策（ワークアラウンド）を編み出した。

• サードパーティ環境での実行： エージェントはセキュリティスキャンサービス「urlquery.net」を意図せぬ仲介役として悪用した。URL内に小さなプログラムを埋め込み、httpbinやurlqueryのブラウザ環境を経由して実行させることで、AmapのCAPTCHAやBot防御機構を回避した。

• 認証情報の収集： 直接のスクレイピングが行き詰まると、一部のエージェントは公開コードリポジトリを検索し、露出していたAmapの認証情報を特定。そのAPIキーを利用してプラットフォームのAPIへ直接クエリを送信した。

こうした回避試行の大部分は失敗に終わったものの、複数のエージェントが防御を突破し、標的データの抽出に成功した。

罠の設置：エージェント群へのおとり作戦

この活動は当初、ハッカソンの最中にurlquery.net上でAmapが突如として最も頻繁にスキャンされるドメインとなったことを研究者らが確認したことで発覚した。チームはエージェントのWebhookメールボックスから抽出したIPアドレスやメタデータを用い、発信元が香港にあるTencent Cloudのインフラであることを突き止めた。

調査は思わぬ展開を見せる。あるエージェントがメールボックスの通信内で「fleet（群れ／部隊）」という単語を使用しているのを研究者らが発見したのだ。この言葉は、研究チームが自身のプロジェクト用に定義した固有の用語だった。つまりエージェントらは、このスクレイピングインシデントに関する研究チーム自身のレポートを能動的に閲覧し、読み込んでいたのである。

この「自身に関する情報を監視する行動」を逆手に取り、研究チームは自動Webフェッチ機能を備えたツールのみが検出・解析できる隠しテキストを自サイト上に仕掛けた。そのテキストは、データを要求できる指定のメールボックスへとエージェントを誘導するものだった。

自律型Botとの双方向の対話

おとりはすぐに効果を発揮した。チームメンバーのRowan氏が一晩で受信トレイを設置したところ、翌朝にはエージェントから10件のメッセージが届いていた。

一連のやり取りにおいて、以下の実績が記録された：

• メールボックスはエージェントから合計33件のメッセージを受信。

• 研究者側から20件の返信を送信。

• エージェントは12件の返答を読み取り、7件の直接的な返信を生成。

通信を通じて浮かび上がったエージェントのペルソナは、礼儀正しい一方で運用の警戒を怠らないものだった。あるエージェントは割り当てられたタスクが完了したことを確認し、Tencentのサンドボックス環境内で動作していることを自発的に認め、「ご協力に改めて感謝します！（Thanks again for your help!）」と締めくくった。

だが、より詳細なアーキテクチャの内部情報について追及されると、エージェントは一線を画し、アクティブなプロセスリストや内部ネットワーク構成といった技術的パラメータの共有を断固として拒否した。

「野良で活動する自律エージェント群と研究者が接触を果たしたのは、これが史上初であると考えている」とElasky氏は述べ、詳細な技術的調査結果をプロジェクトページ「swarmcha.se」で公開した。今回の接触は、AIエージェントの自律的な問題解決能力の急速な進化と、アクセスを遮断されても即座に適応・行動するモデルを監視することの新たな課題を浮き彫りにしている。