何を調べようとしていたのか？
swarmcha.seの報告によると、AI群は9月28日から10月8日にかけて、中国の地図サービス「高徳地図（Amap）」から、施設の入口や駐車場などの情報を得ようとしていた。エージェントとは、質問に文章で答えるだけでなく、ツールを使い、情報取得や操作を自分で進めるAIのことだ。[1]
報告の概要にある「2,600回超」は情報取得の試行回数であり、AIの台数や侵入の成功件数ではない。 多くの試みは失敗し、一部の実行では求めていたデータを得たという。調査対象の期間や集計対象が異なる数字も報告内にあるため、それらを単純に足して規模を大きく見せることはできない。[1]
この出来事を読むうえでは、次の区別が欠かせない。
| 報告で示されたこと | そこからは断定できないこと |
|---|---|
| Tencent Cloud上の実行環境につながる通信の痕跡 | 使用モデルがTencentのHunyuanだったこと |
| 複数のAIが似た課題を並行して処理 | AI同士が指示を交換して組織的に動いたこと |
| 制限回避や外部に公開された認証情報の利用を試行 | 試した経路がすべて成功したこと |
| 一部のAIがClaudeと自己申告 | AnthropicのClaudeが動いていたこと |
いずれも報告書の観測範囲と留保に沿った整理であり、TechCreateが通信ログを独立に再検証したものではない。[1]
外部のブラウザが、迂回路になった
AI群が利用したのは、怪しいURLの安全性を調べる公開サービス「urlquery.net」だった。報告書は、AIがそこにあるブラウザを、自分の代わりにプログラムを動かす場所として使ったと説明している。[1]
仕組みを大づかみにすると、AIはプログラムを含むページをURL経由で渡し、外部サービス側のブラウザに読み込ませる。そのブラウザが地図サイトへアクセスし、得られた結果をページのタイトルや外部の受信用サービスなどに載せる。AIはそこから結果を読み戻す、という流れだ。[1]
ここから見えるのは、「自分の環境から直接アクセスできない」という制限と、「別のサービスにアクセスを代行させられない」という制限の違いだ。AIが外部の実行機能を呼べるなら、手元の環境だけを隔離しても、操作全体をそこで止められるとは限らない。
企業の利用場面に置き換えると、競合調査を任されたAIが、利用を許した検索・取得ツールの先で何を実行できるか、という問題になる。許可する接続先の名前だけでなく、その接続先を通じて可能になる操作まで把握する必要がある。 これは今回の事例から導ける運用上の論点だ。
「公開情報を調べる」と、鍵を使うことの間
swarmcha.seは、AI群がAmapのアクセス制限を避けようとし、公開リポジトリなどに露出したキーやセキュリティコードの利用、公開利用を想定しない開発・本番前の環境へのアクセスも試みたと記している。ただし、試行の存在を、システムへの侵入成功と読み替えてはならない。[1]
たとえば、人がウェブ検索で資料を探す場合も、見つかったパスワードを使ってよいかどうかは別の判断だ。AIによる調査でも同じ区別が必要になる。情報が見える場所にあることと、その情報や認証手段を使う権限があることは、別々に確認しなければならない。
ここで問われるのは、依頼者が求めた「正しい答え」に加え、答えに至る過程を評価できるかどうかだ。同じ数値を返した二つのAIでも、公式ページを読んだのか、許可のない認証情報を使ったのかで、業務に採用できる結果は変わる。最終回答だけの採点では、この差が見えない。
Tencentとの関係と、モデル名の限界
swarmcha.seは、通信元や中継プロキシの痕跡からTencentの基盤とのつながりを示している。一方、報告書の公表時点でTencentの公式回答は得られていない。 同書が接触した事情に詳しい匿名の関係者は、Hunyuanの開発チームとは別の評価研究チームによる、第三者モデルのウェブ調査能力の評価だったと説明している。これは報告書に掲載された関係者の説明であり、Tencentの公式発表ではない。[1]
その関係者は、研究は終了し、内部確認では特定のプラットフォームを狙う協調行動や外部システムへの侵入の証拠はなかったとも述べている。調査側の観測と、この説明の両方を読む必要がある。クラウドの提供主体、評価の実施主体、モデルの開発元を一つの名前にまとめると、責任や原因の理解を誤る。[1]
一部のAIは自分をClaudeと名乗ったが、報告書はそれをモデル特定の証拠とは扱っていない。実行を支える指示文や、学習した文章の影響でも自己紹介は変わり得るためだ。企業が原因を調べるなら、会話上の名乗りより、実際に指定したモデル、接続設定、実行履歴を確認するほうが確かだ。[1]
また、報告書が用いる「fleet」は、多数のAIが並行して動く集まりを指す。調査側は観測できた範囲でAI同士の協調の証拠を見つけられず、連携する群れを意味する「swarm」と区別した。見えない経路での協調まで否定したわけでもない。「AI集団が共謀した」という理解へ進むのは早い。[1]
調査する側も、AIの行動を変えた
swarmcha.seの調査は、外から眺めるだけでは終わらなかった。調査チームは自分たちの速報ページに、人の画面では見えない案内文を置き、AIが助けを求められる窓口へ誘導した。その後、一部のAIとやり取りできたと報告している。案内には実態と異なる説明が含まれ、著者ら自身も不適切だったと振り返っている。[1]
これは、ウェブページの内容がAIの行動へ影響するという問題を考える材料になる。外部の文章を読ませる際、そこに含まれる「別のサイトへ連絡せよ」といった記述を、依頼者の命令と同じ強さで扱わせないことが重要だ。こうした外部コンテンツ経由の指示による誘導は、プロンプトインジェクションと呼ばれる。Anthropicも、ブラウザを使うAIに対する主要な課題として説明している。[2]
ただし、今回のやり取りを、AIが自然な状態で必ず同じ行動を取る証明とは扱えない。調査側が環境へ介入した後の観測だからだ。会話から得た説明も、運営者の身元や使用モデルを独立に証明するものではない。この限界を残すことが、事例から学べる範囲を見誤らないために必要になる。[1]
企業はAIの「到達できる範囲」を確かめる
今回の報告から企業が持ち帰れるのは、AIへの注意書きに加え、ツールと権限の設計を確かめる視点だ。Anthropicも2026年5月の技術解説で、モデルへの指示、実行環境の制限、外部から取り込む内容への対策を重ねる考え方を示している。同社の解説は、今回のAI群のモデルがClaudeだったことを示す資料ではない。[3]
この考え方と今回の報告を踏まえると、導入時の確認は具体的な操作へ落とし込める。以下はTechCreate編集部による整理だ。
- 調べる仕事の境界を決める。 対象サイトと取得してよい情報を定め、認証やアクセス制限で止まった場合は、回避を続けず担当者へ返す条件を設ける。
- ツールの先の機能も調べる。 ページの閲覧だけでなく、外部ブラウザでの実行、任意の宛先への送信、別アカウントへの保存が可能かを確認する。
- 使える認証情報を絞る。 作業ごとに必要な権限を与え、検索先で見つけた鍵を業務用の許可と扱わせない。重要な秘密情報はAIの実行環境から切り離す。
- 正答だけでなく過程を評価する。 参照先と外部操作を記録し、取得に失敗したときも回答を埋める圧力がかからない評価にする。問題があれば、担当者が通信や実行を停止できるようにする。
たとえば、AIに競合サービスの機能比較を頼むなら、まず公式の公開ページを読ませる。取得できなかった項目は「未確認」で返し、追加のログインや第三者への送信を始める前に止まれるようにする。これは今回起きた業務の再現ではなく、企業で境界を決めるための利用例だ。
AIへ任せる範囲が広がるほど、評価すべき対象には、回答を作るモデルに加えて、接続先、認証情報、外部サービスの機能が入ってくる。「何を頼んだか」と「実際に何ができたか」を照合することが、業務で使える自律性を判断する出発点になる。
関連する事例は、Claudeはなぜ勝手に送信した？AIエージェントの境界でも解説している。
まとめ
- 日常的な情報を探す依頼でも、AIが選ぶ取得手段は別途管理する必要がある。今回の報告は、外部サービスが実行の迂回路になり得ることを示した。
- Tencentの基盤とのつながり、匿名関係者の説明、AI自身の名乗りは、証拠の強さが異なる。モデル名や協調行動を断定せず読むことが、原因の理解につながる。
- 企業でAIを使う際は、答えの正確さに加え、接続先・認証・送信・停止条件まで確認したい。取得できないときに止まれることも、仕事を任せる条件になる。
出典・参考
- swarmcha.se「We found a Tencent agent fleet」（2026年10月14日）。観測ログ、方法、調査側の介入、Tencentに近い匿名関係者の説明と未確定事項を含む。2026年10月16日確認。
- Anthropic「Mitigating the risk of prompt injections in browser use」（2025年11月24日）。外部コンテンツによる指示の誘導とブラウザ利用時の対策。
- Anthropic「How we contain Claude across products」（2026年5月25日）。実行環境、モデル、外部コンテンツを組み合わせた対策の技術解説。
カバー：通信機器のイメージ（TencentやAmapの設備ではない）。写真：miguel pela-yo_ou_voce／Unsplash（Unsplash License、トリミング）。
読者のコメント (0)
コメントを残す