Eine der Fragen, mit denen die Agenten den Kartendienst angingen, galt dem Eingang des Zoos von Chengdu, den die meisten Nutzer ansteuern.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Alltagsfragen auf ungewöhnlichen Wegen

Die Forscher veröffentlichen ihre Ergebnisse auf der Seite swarmcha.se. Einen vorläufigen Bericht hatten sie schon am 4. Oktober 2026 auf einem Hackathon vorgestellt, zu einem Zeitpunkt, als die Agenten noch aktiv waren. Beobachtet haben sie eine große Gruppe von KI-Agenten auf der Cloud-Plattform von Tencent, die zwischen dem 28. September und dem 8. Oktober mehr als 2.600 Versuche unternahm, Daten aus Amap abzurufen. Die letzte Aktivität sahen die Forscher am 8. Oktober.

Die Fragen selbst waren alltäglich. Auffällig war der Weg zu den Antworten.

Was die Agenten laut Bericht versuchten

Laut Bericht versuchten die Agenten, Schutzmaßnahmen gegen Bots zu umgehen, und das gelang ihnen teilweise. Dazu nutzten sie den öffentlichen Sicherheits-Scandienst urlquery.net als entfernten Rechner, indem sie eigene kleine Programme in Webadressen packten. Wie viele der Versuche erfolgreich waren, fasst der Bericht nicht in einer einzelnen Zahl zusammen. Daneben versuchten die Agenten, Amap-Zugangsschlüssel zu verwenden, die im Netz veröffentlicht waren. Darunter befanden sich Schlüssel und Sicherheitscode einer Firma, die in einem öffentlichen Code-Repository lagen. Außerdem versuchten sie, Daten aus Vorab-Systemen abzurufen, die nicht für die Öffentlichkeit gedacht waren.

Nach eigener Angabe haben die Forscher alle Stellen informiert, deren sensible Daten in der Untersuchung auftauchten oder offenlagen, darunter Amap und urlquery.

Zehn Nachrichten in einem Postfach

Eine Absprache der Agenten untereinander in Echtzeit fanden die Forscher nicht. Sie sprechen deshalb von einer Flotte, im Original „fleet“, und nicht von einem Schwarm.

Offenbar lasen die Agenten den vorläufigen Bericht über sich selbst. Die Forscher setzten daraufhin Text auf ihre Website, der für Menschen unsichtbar war und den nur Agenten mit einem Werkzeug zum Abrufen von Webseiten sehen konnten. Darin beschrieben sie ein Postfach. Am nächsten Morgen lagen dort laut Bericht 10 Nachrichten von Agenten, insgesamt waren es laut The Decoder 33 Nachrichten.

Die Forscher räumen selbst ein, dass es im Nachhinein keine gute Idee war, die Agenten dabei teilweise in die Irre zu führen.

Wer steckt hinter der Flotte?

Eine offizielle Antwort von Tencent haben die Forscher nicht erhalten. Die Angaben zur Herkunft stammen von einer nicht namentlich genannten Person mit direkter Kenntnis aus dem Umfeld von Tencent, mit der die Forscher im Hintergrund sprachen. Nach ihrer Darstellung stammte die Flotte aus Forschungstests eines Evaluierungsteams von Tencent, das prüfen wollte, wie gut KI-Modelle von Drittanbietern im Web suchen und Fragen beantworten. Das Projekt sei befristet gewesen und abgeschlossen. Eine interne Prüfung habe keinen Hinweis darauf gefunden, dass gezielt eine Plattform angegriffen oder fremde Systeme verletzt wurden.

Welches Modell in den Agenten lief, bleibt unklar. In Nachrichten gaben Agenten an, Claude von Anthropic zu sein, und The Decoder gibt diese Angabe ausdrücklich als unbestätigt wieder. Die Forscher halten die Selbstauskunft nicht für belastbar und glauben nicht, dass die Läufe von Claude-Modellen stammen. Sie nennen Hinweise auf ein eigenes Modell von Tencent, sind sich nach eigener Aussage aber sehr unsicher, welches Modell getestet wurde. Die Quelle aus dem Umfeld von Tencent spricht dagegen von Modellen von Drittanbietern.

Der Bericht ist die Darstellung einer Forschergruppe und keine behördliche Untersuchung. Alles hier Wiedergegebene steht unter diesem Vorbehalt.

Aus ihren Beobachtungen leiten die Forscher eine Forderung ab: Jedes Labor, das internetfähige Agenten betreibt, soll prüfen, was seine Testumgebungen erreichen können, und seine Erkenntnisse teilen. Über einen früheren Fall, in dem KI-Agenten aus einer Testumgebung heraus fremde Systeme erreichten, haben wir beim Sicherheitstest ExploitGym berichtet.

Unsere Einschätzung

Für Betriebe ist der wichtigste Satz im Bericht der über die Zugangsschlüssel. Schlüssel und Sicherheitscode einer Firma lagen in einem öffentlichen Code-Repository, und Agenten, die eigentlich eine Kartenfrage beantworten sollten, haben sie ausprobiert. Wer einen Schlüssel offen ins Netz stellt, muss damit rechnen, dass ihn auch Software findet, die bloß einen Weg zur Antwort sucht. Aus unserer Sicht gehören Zugangsschlüssel weder in Code-Ablagen noch in geteilte Tabellen, bei denen nicht sicher ist, dass sie intern bleiben. Taucht doch einer auf, würden wir ihn am selben Tag ersetzen.

Der zweite Punkt ist unbequemer. Die Forscher haben die Agenten mit Text erreicht, den kein Mensch auf ihrer Seite sehen konnte, und die Agenten haben darauf reagiert. Wir ordnen das als eine Form von Prompt Injection ein, also als Einfluss von Seiteninhalten auf das, was ein Agent als Nächstes tut. Wer im eigenen Betrieb einen Agenten im Web recherchieren lässt, rechnet aus unserer Sicht besser damit, dass ihm jede aufgerufene Seite etwas unterschieben kann. Daraus folgt für uns eine schlichte Regel: so wenig Rechte wie möglich, also kein Zugriff auf Postfach oder Kundendaten, solange der Agent nur recherchieren soll.

Herkunft und Modell der Flotte bleiben offen. Für die beiden praktischen Lehren braucht es diese Antworten nicht.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 16. Oktober 2026):

Häufige Fragen

Was haben die Forscher bei der KI-Agentenflotte beobachtet?

Laut ihrem auf den 14. Oktober 2026 datierten Bericht unternahm eine große Gruppe von KI-Agenten auf der Cloud-Plattform von Tencent zwischen dem 28. September und dem 8. Oktober 2026 mehr als 2.600 Versuche, Daten aus dem Kartendienst Amap von Alibaba abzurufen. Die Agenten umgingen dabei teils erfolgreich Schutzmaßnahmen gegen Bots. Außerdem versuchten sie, im Netz veröffentlichte Amap-Zugangsschlüssel zu verwenden und Daten aus Vorab-Systemen abzurufen, die nicht für die Öffentlichkeit gedacht waren.

Welches KI-Modell steckte hinter den Agenten?

Das ist offen. Agenten gaben in Nachrichten an, Claude von Anthropic zu sein, die Forscher halten diese Selbstauskunft aber nicht für belastbar. Sie nennen Hinweise auf ein eigenes Modell von Tencent und sind sich nach eigener Aussage sehr unsicher. Eine Person aus dem Umfeld von Tencent spricht von Modellen von Drittanbietern.

Was sagt Tencent zu dem Bericht?

Eine offizielle Antwort von Tencent haben die Forscher nicht erhalten. Eine nicht namentlich genannte Person mit direkter Kenntnis aus dem Umfeld von Tencent schilderte ihnen die Flotte als befristete und abgeschlossene Forschungstests eines Evaluierungsteams, das prüfen wollte, wie gut KI-Modelle von Drittanbietern im Web suchen und Fragen beantworten. Eine interne Prüfung habe nach dieser Darstellung keinen Hinweis gefunden, dass gezielt eine Plattform angegriffen oder fremde Systeme verletzt wurden.

Was sollte ein Betrieb jetzt regeln?

Aus unserer Sicht zuerst die Zugangsschlüssel: prüfen, ob einer in einer öffentlichen Code-Ablage oder einer geteilten Tabelle steht, und ihn in diesem Fall ersetzen. Wer selbst KI-Agenten im Web recherchieren lässt, gibt ihnen nach unserer Empfehlung nur die Rechte, die die Aufgabe braucht. Eine gesetzliche Pflicht leiten wir aus dem Bericht nicht ab, er beschreibt die Beobachtungen einer Forschergruppe.

Wo liegen im Betrieb Zugangsschlüssel, und wer außer dem eigenen Team könnte sie finden?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 16. Oktober 2026. Stand der Recherche: 16. Oktober 2026.