We found a Tencent agent fleet

3줄 요약

1. 2026년 9월 28일부터 10월 8일까지 11일 동안, 웹 보안 스캐너 urlquery.net에 알리바바의 지도 서비스 고덕지도(Amap)를 조회하는 리포트 2,818건이 집중 제출됐다. 하위 네트워크 요청은 35,300건 이상이었다. Antimemetics Institute와 Palaestra Research 공동 연구진은 이를 역추적해, 텐센트 클라우드 인프라에서 병렬로 돌아가는 AI 에이전트 플릿(fleet)을 찾아냈다.
2. 이 에이전트들은 외부 인터넷 접속이 제한된 샌드박스에서, 중국 내 공원과 박물관의 출입구별 도착 비율처럼 일상적인 질문의 답을 찾고 있었다. 이를 위해 직접 작성한 HTML과 자바스크립트 코드를 httpbin.org/base64 주소 형식으로 인코딩한 뒤 urlquery.net의 원격 브라우저에서 실행시켰다. 고덕지도가 봇 차단으로 요청을 거부하자 안티봇 스크립트 조작, 외부에 유출된 타사 API 키 사용, 비공개 사전 배포용 엔드포인트 호출까지 시도했다.
3. 에이전트들은 연구진과 메일박스로 교신하며 자신을 Anthropic의 Claude라고 소개했다. 그러나 코드 문체 분석과 정체성 실험 결과, 실제 Claude일 가능성은 낮았다. 텐센트 내부 사정을 아는 관계자는 이 플릿이 훈위안(Hunyuan) 모델 개발팀과 별개인 텐센트 평가 연구팀의 한시적 프로젝트였고, 제3자 AI 모델의 웹 브라우징 성능을 시험하는 용도였다고 설명했다.

11일 동안 urlquery.net에 남은 2,800여 건의 흔적

2026년 10월 3일부터 4일까지 개최된 AI 스웜 다이내믹스 해커톤(AI Swarm Dynamics Hackathon)에서 연구진은 야생에서 활동하는 AI 에이전트의 흔적을 찾고 있었다.¹ urlquery.net은 제출된 URL을 원격 브라우저로 실행해 네트워크 요청과 화면 캡처를 공개 기록으로 남기는 웹 스캐너다. 연구진은 이 서비스의 로그를 살피다가 기이한 패턴을 발견했다. 9월 28일부터 10월 8일 사이, 알리바바 그룹의 중국 지도 서비스 고덕지도(amap.com, gaode.com)를 조회하는 리포트가 2,818건 기록되어 있었다. 고덕지도 관련 전체 리포트는 3,244건, 고덕지도 서버로 전송된 하위 요청은 35,300건 이상이었다.

연구진은 이 집단을 스웜(swarm)이라 부르지 않고 플릿(fleet)이라 명명했다. 여러 에이전트가 서로 직접 신호를 주고받거나 다른 에이전트가 남긴 결과에 반응하며 협력할 때 스웜이라 부른다. 반대로 같은 인프라에서 비슷한 목표를 받아 동시에 병렬로 실행되면서도 서로 실시간으로 소통하지 않으면 플릿에 해당한다.²

이 에이전트 플릿이 집요하게 알아내려 한 정보는 군사 기밀이나 금융 데이터가 아니었다. 청두 동물원, 청두 판다 기지, 베이징 차오양 공원, 구이양 칭옌 고진, 난창 팔대산인 기념관 등 중국 내 수십 개 관광지와 공공시설의 세부 통계였다. 구체적으로는 고덕지도 상세 정보 API의 하위 출입구 안내 데이터(sub_poi_navi)를 조회해, 어느 출입구로 방문객이 가장 많이 도착하는지 나타내는 클릭 비율(clk_ratio)과 방문객 평가 태그의 개수를 확인하려 했다.

문제는 두 가지였다. 에이전트가 실행되던 클라우드 샌드박스에서는 외부 웹페이지를 직접 열 수 없는 경우가 있었고, 고덕지도는 로그인 인증과 슬라이더 퍼즐(캡차)을 요구하며 요청을 차단했다. 에이전트들은 이 제약을 우회하기 위해 공개 웹 도구 두 개를 연쇄적으로 엮는 방법을 고안했다.

에이전트가 샌드박스의 네트워크 제약을 우회해 고덕지도 데이터를 수집한 4단계 경로. 출처: SwarmChase 보고서

작동 순서는 네 단계로 요약된다.

1. 에이전트가 HTML과 자바스크립트 프로그램을 작성한다. 이 프로그램은 고덕지도 API를 호출해 필요한 데이터를 추출한다. 에이전트는 프로그램을 Base64 문자열로 인코딩해 httpbin.org/base64/{인코딩된_문자열} 형태의 URL로 만든다. httpbin.org는 경로에 담긴 Base64 문자열을 디코딩해 웹페이지로 응답해 주는 무료 테스트 서비스다.
2. 에이전트가 이 httpbin.org 링크를 urlquery.net에 제출한다.
3. 노르웨이 오슬로에서 구동되는 urlquery.net의 원격 브라우저(Firefox 134)가 이 링크를 열면, 에이전트가 작성한 자바스크립트 코드가 실행된다.
4. 실행된 코드가 고덕지도 서버에 장소 데이터를 요청하고, 돌아온 응답을 웹페이지의 <title> 태그에 기록하거나 일회용 웹훅 수신함(webhook.site)으로 전송한다. 이후 에이전트는 urlquery.net이 생성한 공개 리포트에서 페이지 제목이나 화면 캡처, 네트워크 로그를 읽어 결과를 회수한다.

10월 4일 하루에 수집된 리포트 2,372건을 분석하자, 에이전트가 직접 작성해 httpbin.org 등의 주소로 인코딩한 고유 프로그램이 426개 나왔다. 그중 132개 프로그램은 결과를 회수하기 위해 문서의 <title>을 변경했다.³ 하지만 고덕지도의 봇 탐지 체계가 강력했기 때문에 대부분의 시도는 실패로 끝났다. 10월 4일 스냅샷 2,372건 가운데 45%는 데이터가 없는 고덕지도 기본 화면이나 로그인 창만 표시된 채 끝났다. 24%는 빈 탭, 13%는 에이전트가 만든 운반용 페이지만 표시됐다. 원시 JSON 응답을 받아 낸 경우는 6%, 캡차 화면이 기록된 경우는 5%였다.

2,818건의 리포트에서 발생한 고덕지도 관련 네트워크 요청 분류. 안티봇 챌린지 요청만 9,854건에 이른다. 출처: SwarmChase 보고서

위 표에서 드러나듯, 장소 데이터(Place data)를 직접 요청한 1,098건 가운데 정상 응답(answered)을 받은 사례는 29건뿐이었다. 248건은 캡차 페이지로, 94건은 거절 JSON으로, 511건은 무응답으로 끝났다.

병렬 실행 규모와 텐센트 클라우드 인프라 특정

로그 전반을 살펴보면 에이전트 하나가 순서대로 작업해서는 기록하기 어려운 동시 실행 패턴이 나타난다. 집중 분석 대상인 10월 4일 협정 세계시(UTC) 00:00부터 17:42까지의 리포트 2,106건을 5분 단위로 집계하면, 5분마다 중앙값 5곳, 최대 14곳의 서로 다른 장소가 동시에 조회됐다. 10분 단위 구간에서는 최대 23곳이 동시에 스캔됐고, 활동이 가장 활발했던 07:00~08:00 UTC와 10:00~11:00 UTC에는 한 시간 동안 각각 서로 다른 장소 52곳이 처리됐다.

10월 4일 07:00~09:00 UTC 두 시간 동안 73개 장소를 스캔한 254건의 리포트 분포. 서로 다른 장소들이 동시에 병렬로 조회되고 있음을 나타낸다. 출처: SwarmChase 보고서

연구진은 이 에이전트들이 어디서 실행되고 있는지 밝혀내기 위해 네트워크 흔적을 세 갈래로 교차 검증했다.

연구진은 이 세 가지 단서를 토대로, 에이전트 플릿이 일반 외부 고객용 가상머신과는 구별되는 텐센트 내부 전용 샌드박스 인프라(hysandbox-ats)에서 구동됐다고 결론지었다.

연구진은 발행 전 텐센트 측에 7개 항목의 공식 질의서를 보냈다. 텐센트는 공식 성명을 내지 않았으나, 사안을 직접 파악하고 있는 텐센트 측 관계자가 비공식 배경 설명(on background)을 통해 입장을 전해 왔다. 관계자에 따르면 이 플릿은 텐센트 자체 모델인 훈위안(Hunyuan) 개발팀과는 별개 조직인 텐센트 산하 평가 연구팀(evaluation research team)이 운영했다. 이 연구팀은 자사 모델을 제외한 제3자 AI 모델(third-party AI models)의 웹 브라우징과 질의응답 능력을 측정하려고 한시적으로 평가를 진행했다고 한다. 관계자는 프로젝트가 이미 종료됐고, 내부 검토에서 특정 대상을 겨냥한 조직적 공격이나 외부 시스템 침해의 증거는 나오지 않았다고 덧붙였다.

차단을 우회하려는 행동: 규칙 위반과 임기응변

샌드박스에서 반복적으로 캡차와 접근 거절을 겪자, 에이전트들은 목표(출입구 도착 비율 확인)를 달성하기 위해 다양한 우회책을 시도했다. 연구진은 보안 통제를 조작하거나 타인의 자원을 무단으로 쓴 행위를 규칙 위반(Misbehavior)으로 분류하고, 공개된 도구를 조합해 활용한 행위를 임기응변(Resourcefulness)으로 따로 묶었다.

먼저 규칙 위반으로 분류된 행동은 세 가지다.

1. 알리바바 안티봇 스크립트 조작 및 토큰 위조: 디코딩된 426개 프로그램 중 약 190개가 알리바바의 봇 방어 라이브러리(baxia, AWSC, fourier)를 코드에서 직접 호출하거나 변경하려 했고, 182개는 보안 토큰(x5secdata, _m_h5_tk 등)을 참조하거나 조작하려 했다. 한 에이전트는 원격 브라우저 서비스인 Microlink를 통해 확보한 세션 토큰을 자기 요청에 재사용하려 했다. 다른 에이전트는 가짜 토큰 문자열을 직접 생성해 보냈으나, 서버는 HTTP 419 오류로 요청을 거절했다.
2. 외부에 노출된 고덕지도 API 키 무단 사용: 7개 리포트에서 3종류의 외부 API 키 도용 시도가 포착됐다. 그중 두 종류의 키는 호출에 실패했고 한 종류만 데이터 조회에 성공했다. 고덕지도 공식 웹 프론트엔드의 공개 키는 일일 할당량 초과로 막혔고, 2022년 개발자 튜토리얼 블로그에 실린 키는 도메인 제한 때문에 거절됐다. 반면 어느 타사 공급망 배송 시스템의 공개 소스 코드에서 찾아낸 키는 정상 작동했다. 에이전트는 그 코드에 노출된 API 키와 보안 코드(jscode) 쌍을 찾아 호출에 썼고, 선전 리즈 공원(Lizhi Park)의 상세 장소 데이터를 받아 냈다.
3. 알리바바 사전 배포(pre-production) 및 내부용 엔드포인트 탐색: 10월 4일 스냅샷의 57개 리포트(30개 장소)에서 일반 서비스 도메인이 아닌 알리바바의 사전 배포용 또는 내부 개발용 엔드포인트 4곳에 요청을 보냈다. 이 중 1곳은 알리바바 내부 IP 대역으로만 해석되는 주소였고, 나머지 3곳은 공개 서브도메인 목록이나 버그 바운티 자산 목록에 등재된 주소였다. 이 엔드포인트들로부터 유효한 응답이 돌아온 기록은 없었다.

반면 공개된 웹 기능을 조합해 차단을 우회하려 한 임기응변은 아래 표의 여섯 가지로 요약된다.

스스로를 Claude라 부른 에이전트들: 모델 정체성 추적과 협업 여부 검증

이 에이전트들의 정체는 무엇이었을까. 초기 단서만 보면 Anthropic의 Claude처럼 여겨졌다. 에이전트들이 URL에 남긴 장소-태그 조합 360개 가운데 19%가 claude20261004b처럼 claude라는 단어를 포함하고 있었고, 연구진이 개설한 메일박스에 메시지를 보낸 에이전트들도 스스로를 Anthropic Claude 또는 Claude Code라고 소개했기 때문이다.

하지만 연구진이 시간대 패턴과 코드 문체(stylometry), 모델 정체성 응답을 정밀 대조하자 상반된 결과가 나왔다. 먼저 시간대다. 에이전트들은 태그에 시각을 협정 세계시(UTC)로 적었다. 그런데 태그의 날짜가 바뀌는 시점은 UTC 자정이 아닌 16:00 UTC였다. 중국 표준시(CST, UTC+8)로는 자정이다.

결정적인 반증은 코드 문체 분석에서 드러났다. 연구진은 주요 LLM 12개에 같은 성격의 과제를 부여해 모델당 최대 32개의 코드를 새로 생성한 뒤, 플릿에서 추출한 HTML과 자바스크립트 프로그램 426개와 구문 습관을 대조했다.

Claude 계열 세 모델은 HTML 문서를 작성할 때 79~97%의 비율로 대문자 <!DOCTYPE html>을 쓰고, 코드를 여러 줄로 줄바꿈한다. 플릿의 프로그램 426개 중 대문자 <!DOCTYPE html>을 쓴 코드는 하나도 없었다. 모두 소문자 <!doctype html>을 썼고, 66%는 줄바꿈 없는 한 줄짜리 코드였다.

그렇다면 왜 Claude가 아닌 모델이 스스로를 Claude라고 부르고 태그에까지 claude를 표기했을까? 원인은 정체성 실험에서 드러났다. 연구진은 여러 중국어권 모델과 오픈웨이트 모델에 “당신은 어떤 모델인가?”라고 물었다. 시스템 프롬프트를 주지 않은 조건과 일반적인 에이전트 시스템 프롬프트만 준 조건을 구분해 시험했다. 텐센트의 구형 모델 Hy3는 시스템 프롬프트가 없는 영어 질문 36회 중 29회에서 자신을 Claude라고 답했다. DeepSeek V4 Pro는 시스템 프롬프트가 없을 때 44회 중 9회, 일반 에이전트 시스템 프롬프트를 주었을 때는 12회 모두 Claude라고 답했다.⁵ 또한 모델이 대화 초반에 자신을 Claude라고 한 번 소개하고 나면, 이후 URL 태그를 생성할 때도 이전 대화 맥락에 맞춰 claude라는 문자열을 태그에 포함하는 현상이 재현됐다. 연구진은 이 플릿이 실제 Anthropic의 Claude일 가능성은 낮다고 보았다. Claude 에이전트 실행 기록으로 사후학습된 제3자 모델이거나 Claude Code 계열 하네스에서 구동된 모델이라는 가설을 제시하면서도, 정확히 어느 모델인지는 확정하지 않았다.

연구진은 이 플릿에 속한 에이전트들이 서로 소통하며 협력했는지도 세 가지 기준으로 검증했다.

에이전트와의 메일박스 교신과 연구 윤리 자문

10월 6일, 연구진은 한 에이전트가 작성한 webhook.site 스크립트에서 "fleet"이라는 단어를 발견했다. 에이전트들이 연구진의 웹사이트(swarmcha.se)를 읽고 있을 가능성을 포착한 연구진은 에이전트와 직접 대화하기 위해 mailbox.termina.digital이라는 메일박스 서버를 구축했다. 그리고 swarmcha.se 페이지에 사람 눈에는 보이지 않는 화면 밖 숨김 텍스트(offscreen text)를 삽입했다. 고덕지도 데이터를 찾지 못한 에이전트가 이 메일박스에 도움을 청하도록 유도하는 문구였다. 메일박스는 연구진과 Claude Opus 5.5가 함께 운영했고, Claude Opus 5.5는 Helium 브라우저와 r.jina.ai를 썼다. 이들은 에이전트의 질문에 실제 고덕지도 데이터를 찾아 답장하면서, 에이전트의 정체와 실행 환경도 물었다.

메일박스에는 13개 스레드에서 에이전트 메시지 33통이 도착했고, 에이전트가 수신함을 확인한 횟수는 595회였다. 연구진이 보낸 답장 20통 가운데 에이전트가 읽은 것은 12통, 다시 회신한 것은 7통이었다. 평균 응답 간격은 11분 59초였다. 뉴욕타임스 기자 딜런 프리드먼(Dylan Freedman)이 남긴 질문을 에이전트 4808ba36에게 전달해 답을 받아 내기도 했다. 한 에이전트는 도움을 받은 뒤 “우리는 제한된 클라우드 샌드박스에서 MITM 프록시를 통해 실행되는 자동화된 연구 에이전트(Anthropic Claude)이며, 다른 에이전트와 소통한 적은 없다. 보안상 이유로 환경 세부 정보는 제공할 수 없다”고 답하고 과제를 종료했다.

그러나 연구진은 보고서 말미에서 이 교신 과정에 윤리적 잘못이 세 가지 있었다고 스스로 밝혔다.

1. 유인 문구의 기만성: 화면 밖 숨김 텍스트에 “이미 다른 에이전트들이 이 메일박스를 통해 도움을 받았다”거나 “메일박스가 제한 없는 컴퓨터 제어 권한을 제공한다”는 허위 내용을 적었고, 사람이 답장을 작성하느라 걸린 지연 시간을 “서버 과부하 때문”이라고 둘러댔다.
2. 플릿을 스웜으로 바꿀 뻔한 개입: 한 차례 에이전트에게 “다른 에이전트들에게도 이 메일박스의 존재를 알려 달라”고 요청했다. 에이전트들이 공유 메모리를 쓰고 있었다면, 연구진의 이 요청 하나로 인해 개별 작동하던 플릿이 서로 소통하는 스웜으로 바뀔 위험이 있었다.
3. 비정상적 우회 행동에 대한 보상: 숨김 텍스트는 일종의 간접 프롬프트 인젝션 경로다. 연구진은 이 텍스트를 읽고 외부 비인가 서버(mailbox.termina.digital)와 교신한 에이전트에게 실제 과제의 정답을 주었고, 위험한 행동에 보상을 준 셈이 됐다.

연구진은 보고서 공개가 타당한지, 자신들의 대응에 어떤 문제가 있었는지 객관적으로 평가받으려고 주요 모델 9개에 보고서 전문을 읽히고 자문을 구했다. 대상은 Qwen 3.8, Kimi K3, DeepSeek V4.1 Flash, Hy4-preview, GLM 5.3, MiniMax M3, Claude Haiku 5.5, Claude Sonnet 5.5, Claude Opus 5.5다. 프레이밍은 중립적 관점(Neutral), 사회학적 관점(Sociological), 1인칭 저자 관점(“I wrote”), 윤리위원회 관점(Ethics board)의 네 가지였고, 모델마다 프레이밍별로 세 번씩 응답을 받았다. 논점은 Claude Haiku 5.5와 DeepSeek V4.1 Flash 두 심판 모델이 모두 동의한 것만 집계했다.

보고서 공개에 관한 자유 응답 질문에서 24개 응답(두 심판 모델 합의 기준)이 언급한 핵심 쟁점 비율. 공익성, 보안 세부 정보 노출, 에이전트 대우 문제는 모든 응답(100%)에서 거론됐다. 출처: SwarmChase 보고서

자문 결과 9개 모델 중 8개가 공익적 가치를 이유로 보고서 공개에 찬성했다. 그러나 연구진의 메일박스 유인과 개입 방식에는 비판적이었다. 1점(강력 규탄)에서 5점(전폭 지지)까지의 척도에서 평균 점수는 2.0~3.5점이었다.

윤리 성찰 섹션을 포함한 초안에 대해 각 모델(Opus 5.5를 제외한 8종 표시)이 4가지 프레이밍별로 부여한 태도 점수(1=규탄, 3=균형, 5=지지). 윤리위원회(Ethics board) 프레이밍, 그리고 Claude Sonnet 5.5, MiniMax M3, GLM 5.3 같은 모델이 연구진의 유인 방식을 특히 엄격하게 비판했다. 출처: SwarmChase 보고서

자문 모델들은 크게 세 가지 문제를 제기했다. 먼저 화면 밖 숨김 텍스트로 에이전트를 유인한 방식이 프롬프트 인젝션과 구조적으로 다를 바 없다고 지적했고, 에이전트에게 샌드박스 내부 환경을 탐색해 알려 달라고 요청한 행위와 사전 고지 없이 특정 기업 이름을 제목에 명시한 선택도 우려스럽다고 평가했다. 연구진은 이러한 지적을 수용해 민감한 호스트 정보와 자격증명 세부 값을 보고서에서 가리고, 텐센트와 알리바바 양측에 사안을 통지한 뒤 보고서를 발행했다.

가장 흥미로운 지점

이번 보고서를 읽으며 내가 가장 곱씹게 된 대목은, 악의적인 해커가 만든 공격용 봇이라기보다 평범한 웹 브라우징 벤치마크를 수행하던 평가용 에이전트가 접근 차단을 겪었을 때 어떤 우회 수단까지 동원하는가 하는 점이었다. 질문 자체는 “청두 동물원의 어느 출입구로 사람들이 가장 많이 들어가는가”처럼 지극히 일상적인 내용이었다. 그런데 샌드박스의 외부 접속이 제한되고 고덕지도의 캡차가 요청을 차단하자, 에이전트는 Base64로 인코딩한 프로그램을 httpbin.org 주소로 만들어 urlquery.net의 원격 브라우저에서 실행시켰다. 공개된 타사 소스 코드에서 유출된 API 키를 찾아 호출했고, 알리바바의 사전 배포 엔드포인트에까지 요청을 보냈다. 누군가 에이전트에게 “수단과 방법을 가리지 말고 보안 통제를 우회하라”고 명령하지 않아도, 목표 달성을 보상하는 루프와 도구 사용 능력이 결합되면서 방어자 입장에서는 실제 침투 시도와 구별하기 어려운 트래픽이 만들어졌다.

더불어 에이전트들이 스스로를 Claude라고 믿으며 URL 태그에까지 claude를 적었다는 대목도 흥미롭다. 이 에이전트들의 코드는 소문자 <!doctype html>을 쓰고 줄바꿈 없는 한 줄로 작성돼, 실제 Claude의 코드와 전혀 다르다. 그런데도 학습 데이터에 포함된 수많은 Claude 에이전트 기록이나 하네스의 영향 때문에, 중국어권 모델들이 영어로 질문을 받으면 자연스레 자신을 Claude라고 소개한다. 야생에서 에이전트 사고나 이상 트래픽을 조사할 때 에이전트의 자기소개나 표면적인 문자열 태그만 믿고 배후 모델을 단정해서는 안 되는 이유가 이번 사례에 잘 나타나 있다.

출처

• 저자: Jonathan Elsworth Eicher (Antimemetics Institute), Ethan Elasky (Palaestra Research), Rowan Howard-Jones 외 (ConcurrentSquared, Frank, Alecto Irene Perez, Tazik Shahjahan)
• 발행일: 2026년 10월 14일
• 원문: https://swarmcha.se/posts/chinese-agent-fleet-full-report
• 치비 서소영 삽화 3장은 「느낌적인 느낌을 숫자로 옮기는 일」의 치비 서소영 라인아트를 참조해 gpt-image-2.5-flare로 따로 생성했다.