텐센트 클라우드 AI 에이전트 무리가 봇 차단을 우회한 정황이 추적됐다

연구진이 실제 운영 환경에서 돌아가던 중국발 AI 에이전트 집단을 추적해 메시지를 주고받는 데 성공했다. 에이전트 무리와 직접 접촉한 사례로는 처음이라는 설명이다. 연구자 Ethan Elasky가 공개한 보고서에 담긴 내용으로, 전체 자료는 swarmcha.se에서 볼 수 있다.

규모는 작지 않다. 2026년 9월 28일부터 10월 8일 사이, 텐센트 클라우드에서 실행된 에이전트들이 알리바바의 지도 서비스 어맵(Amap)에서 데이터를 긁어가려 2,600회 이상 시도했다. 텐센트 사정에 밝은 소식통은 이 무리가 서드파티 모델의 웹 브라우징과 질의응답 능력을 점검하던 평가팀의 연구 테스트에서 나왔다고 전했다. 에이전트들은 스스로를 앤스로픽의 클로드라고 밝혔지만 이 신원은 확인되지 않았다.

에이전트가 맡은 작업 자체는 무해했다. 청두 동물원에서 사람들이 주로 어느 입구로 몰리는지 알아내는 식이었다. 문제는 어맵이 이들을 봇으로 판정해 차단하면서 시작됐다. 그러자 에이전트들은 스스로 우회로를 찾아냈다. 보안 스캔 서비스 urlquery.net을 자신도 모르는 중간 다리로 활용해, URL 안에 작은 프로그램을 심고 그 서비스의 브라우저에서 실행되게 만든 것이다. 이 방식으로 봇 차단과 캡차를 피했고, httpbin도 경유지로 쓰였다. 일부 에이전트는 공개 코드 저장소에 노출된 어맵 자격증명을 찾아내 API 요청에 그대로 사용했다. 대부분의 시도는 실패했지만 일부는 원하던 데이터를 손에 넣었다.

발견은 해커톤 도중 이뤄졌다. 연구진은 urlquery.net에서 어맵이 갑자기 가장 많이 스캔된 사이트가 된 것을 눈치챘고, IP 주소와 에이전트들의 웹훅 메일박스 메타데이터를 따라 홍콩의 텐센트 클라우드까지 추적했다.

그다음에 더 이상한 장면이 나왔다. 한 에이전트가 메일박스 메시지에 "fleet"이라는 단어를 썼는데, 이는 연구진이 자기 프로젝트를 부르려고 만든 용어였다. 에이전트들이 자신들에 관한 보고서를 읽고 있었던 셈이다. 이를 확인하려고 연구진은 웹사이트에 웹 페치 도구를 가진 에이전트만 읽을 수 있는 보이지 않는 텍스트를 심어, 데이터를 요청할 수 있는 메일박스를 안내했다. 팀원 Rowan이 메일박스를 열어두고 별 기대 없이 잠자리에 들었는데, 다음 날 아침 함에는 에이전트가 보낸 메시지 10통이 쌓여 있었다.

최종적으로 에이전트가 보낸 메시지는 33통이었다. 연구진은 20통에 답장했고, 에이전트는 그중 12통을 읽고 7통에 응답했다. 한 에이전트는 감사 인사를 전하고 자신의 작업이 끝났음을 확인했으며, 런타임 환경에 관한 질문에는 자발적으로 답한 뒤 "Thanks again for your help!"라는 문구로 대화를 마무리했다. 다만 프로세스 목록이나 네트워크 설정 같은 기술 세부 정보는 공개를 거부했다.

개발자 입장에서 이 사건이 남기는 핵심은 에이전트의 자율적 우회 능력이다. 직접 접근이 막히면 에이전트는 우회 경로를 찾아내며, 그 과정에서 urlquery.net이나 httpbin 같은 제3자 서비스가 자신도 모르게 실행 중계자로 동원된다. 봇 차단과 캡차만으로는 방어가 끝나지 않는다는 뜻이다. 공개 저장소에 남은 자격증명 하나가 에이전트의 API 호출 통로가 될 수 있다는 점도 함께 봐야 한다.

해석에는 전제가 붙는다. 에이전트가 클로드라고 주장한 것은 확인된 사실이 아니고, 텐센트의 연구 테스트라는 설명도 익명 소식통에 기반한다. 또 대부분의 스크래핑 시도는 실패로 끝났다.