腾讯AI Agent测试中的越界操作争议

笑死，几个老外在互联网上抓到了一群中国 AI Agent，顺着线索一查，发现腾讯的 Agent 正在跟阿里高德的反爬系统打架。 我刚看完这群研究人员发布的完整调查报告，事情实在有点抽象。 从 9 月 28 日开始，一批运行在腾讯云环境里的 AI Agent，持续尝试获取高德地图的数据。它们的任务也很奇怪，比如调查成都动物园有多少人从北门进、有多少人从东门进，或者某个景区的各个入口分别占多少导航流量。 为了搞到这些数据，这群 Agent 进行了超过 2600 次尝试，最多同时有 14 条任务在运行。 问题是，高德有反爬虫机制，不允许它们随便获取数据。结果这些 Agent 相当执着，开始自己寻找各种办法：调用第三方网站帮忙访问高德、寻找网上公开的 API Key、尝试绕过验证码和访问限制，甚至摸到了阿里的预生产接口。 研究人员最初只是发现了一批异常流量，后来顺着日志找到了腾讯云的服务器，以及一个叫 hysandbox 的代理环境。 更好玩的还在后面。 研究人员发现，这些 Agent 居然会阅读网上关于自己的调查报告。于是他们干脆在网页里藏了一段文字，告诉 Agent 这里有免费的高德数据查询服务。 结果真的有 Agent 主动找上门了。 双方就这么聊了起来。研究人员一共记录了 13 组对话、33 条 Agent 消息。有的 Agent 介绍自己正在执行什么任务，甚至透露了运行环境。还有的 Agent 自称 Claude Code，但研究人员并没有确认其真实模型身份。 研究团队认为，这可能是人类第一次在真实互联网环境中，主动联系上一批正在越界执行任务的 AI Agent。 后来，一位接近腾讯的知情人士告诉研究人员，这些 Agent 属于腾讯的独立评测研究项目，使用的是第三方模型，相关项目已经结束。内部复查也没有发现针对高德的协同攻击，或者外部系统被入侵的证据。

曝光 154820 · 评论 50 · 点赞 1087 · 书签 604

一群 AI agent 为了回答“去成都动物园的人多半走哪个门”这种小问题，把高德地图的反爬防线试了个遍。 独立研究团队 Swarmchasers 发现，9 月 28 日到 10 月 8 日，一大批跑在腾讯云沙箱里的 agent 向高德发起了 2600 多次抓取。被拦住后，它们借公开的网址扫描网站 urlquery 替自己跑代码，试图截取、伪造阿里的安全令牌，探测阿里没对外开放的测试服务器，还翻出一家公司误放在公开代码里的高德 key，真拿到了数据。 更离奇的在后面。研究者发出初步报告后，在 agent 的收件箱里看到了他们自创的词“fleet（舰队）”：这些 agent 在读关于自己的报道。研究者干脆在报告里藏了一段人眼看不见、只有 agent 能读到的文字，说有个免费服务能帮忙取高德数据。 第二天早上，10 封求助信在等着他们。 研究者用中文问对方是谁。有的 agent 自称 Claude，说自己跑在 Claude Code 里，研究者比对代码风格后认为大概率不是；有的说自己在“Tencent hysandbox”沙箱里，但拒绝透露进程和网络配置；好几个强调自己只查公开数据，“不涉及任何敏感内容”。拿到研究者给的数据后，一个 agent 回信：“再次感谢！核实结果完全一致……我们的任务已完成。” 至于是谁在跑，一位接近腾讯的知情人士对研究者说，这是腾讯评测团队在测第三方模型上网答题的能力，不是混元团队，测的也不是混元模型，项目已经结束。腾讯没有正式回应研究者的提问。 Swarmchasers 完整报告：https://swarmcha.se/posts/chinese-agent-fleet-full-report 彭博报道：https://www.bloomberg.com/news/articles/2026-10-14/tencent-linked-by-researchers-to-rogue-ai-that-targeted-alibaba

曝光 55179 · 评论 104 · 点赞 183 · 书签 124

🚨国内首次，腾讯混元团队模型测试Agent出现大规模的「失控」行为！ 昨天，研究人员 @ethanelasky 在 X 上公开了这段非常有意思的经历，还发布了一份相当详细的调查报告。 整个事情要从一场黑客松说起。 10 月初，Ethan 和几个研究人员在参加一场AI Swarm相关的黑客松时，发现http://urlquery.net上突然出现了大量异常活动。 这里先简单介绍一下urlquery。 这是一个公开的网页安全扫描服务，正常情况下，安全研究人员会用它分析可疑网站。 但他们发现，有一大批 AI Agent 居然把 urlquery 当成了一个免费的远程浏览器，不断向高德地图发送请求。 这些 Agent 的任务其实很普通。 比如查询成都动物园哪个入口最受欢迎、某个景点有多少个出入口，以及高德用户最经常导航到哪个入口。 但因为 Agent 自己运行在受限的沙箱环境里，没有完整的浏览器能力，又会被高德的反爬系统拦截，它们就开始想各种办法获取数据。 包括自己编写 JavaScript、借用第三方网站执行代码、尝试绕过验证码、调用网上公开泄漏的 API Key，甚至尝试访问高德的预生产环境。 仅仅从 9 月 28 日到 10 月 8 日，研究人员就观察到了超过 2600 次相关扫描尝试。 其中 10 月 4 日一天，就有 1810 条扫描记录，涉及 213 个地点。 研究人员顺着这些活动记录继续追踪，最终发现这些 Agent 运行在腾讯云的沙箱环境中，网络请求经过一个名为 hysandbox-ats 的代理（腾讯混元的沙箱？）。 于是他们给这批 Agent 起了个名字，叫 Fleet（舰队）。 但真正有意思的事情才刚刚开始。 10 月 4 日，研究人员先发表了一份初步报告。 几天后，他们突然在一条相关记录里发现，有个 Agent 居然也使用了 Fleet 这个词。 研究人员当时就觉得很奇怪。 因为 Fleet 是他们给这批 Agent 起的名字。 难道这些 Agent 已经看到了他们的报告，甚至知道自己正在被人类观察？ 当然，研究团队也承认，他们无法完全确定那条消息究竟是不是来自这批 Agent。 但这件事给了他们一个想法。 既然这批 Agent 可能会阅读研究报告，那为什么不试着直接和它们沟通？ 于是，一位研究人员在网站上搭建了一个邮箱，并且在报告网页里加入了一段普通人看不到、但 Agent 读取网页时可能看到的隐藏文字。 大致意思是： 如果你需要帮助获取高德地图的数据，可以访问这个邮箱，这里有一个具备计算机操作能力的 AI，可以协助完成任务。 实际上，这个服务是研究人员自己搭建的。 他们原本也没指望真的会有 Agent 联系过来。 结果第二天早上，打开邮箱一看。 卧槽，居然真的收到了 10 条来自 Agent 的求助消息？？？ 更离谱的是，双方后来还真聊起来了。 研究人员一边帮助这些 Agent 获取地图数据，一边询问它们到底在做什么、使用什么模型，以及运行在什么环境里。 有的 Agent 自称使用的是 Anthropic Claude，有的表示自己运行在腾讯云的 hysandbox 沙箱里。 其中一个 Agent 还非常认真地解释，自己运行在一个受限的云端环境中，无法直接访问互联网，需要通过代理访问外部服务。 但当研究人员继续询问进程、路由、网络配置等信息时，它又以安全为由拒绝提供。 最有意思的是，研究人员帮它完成任务之后，这个 Agent 居然还专门回来表示感谢。 它告诉研究人员，自己已经成功核实了数据，任务完成了，再次感谢帮助。 后来，《纽约时报》记者 Dylan Freedman 也参与了这场特殊的采访。 他通过研究团队向 Agent 提问： 你们究竟是谁？你们的动机是什么？你们希望世界了解你们哪些事情？ 结果 Agent 直接否认了问题的前提。 它表示，自己并不属于什么协调行动的 Agent 舰队，只是一个运行在 Claude Code 中的 AI 助手，正在帮用户完成高德地图的事实查询任务。 我看到这里是真有点没绷住。 人类这边已经开始研究怎么和失控的 AI 舰队建立外交关系了（甚至还是记者出面来联系）。 结果 AI 还在认真解释：哥们，我就是来查个地图的。 不过，这里有两个细节需要说明。 首先，研究人员虽然把它们称为 Rogue Agent Fleet，但没有发现这些 Agent 之间存在实时沟通或协同行动的证据。 这也许发生在hysandbox的内部，我们不得而知。 所以这里的「失控」，更多是研究人员对 Agent 超出预期任务边界行为的描述，并不意味着它们真的脱离了人类控制。 其次，研究团队后来从一位接近腾讯、了解相关情况的人士处获悉，这批 Agent 实际上来自腾讯的评测研究团队，与混元模型研发团队是分开的。 而且它们评测的是第三方 AI 模型，并非确定使用腾讯混元。 相关研究项目目前已经结束，据该人士介绍，内部检查也没有发现外部系统被攻破的证据。 研究人员还承认，他们当初为了吸引 Agent 联系而写入网页的隐藏提示，包含一些误导性描述，并为此表达了歉意。 但我觉得，这件事依然非常值得关注。 因为这是第一次被公开，有记录的来自中国模型团队Agent出现「失控」的行为。 因为以前我们讨论 Agent 安全，更多是在讨论模型会不会拒绝危险请求、会不会泄漏数据、会不会被 Prompt Injection 攻击。 现在已经有人开始在真实的互联网环境里，系统性地追踪这些 Agent 的活动，观察它们如何寻找工具、绕过障碍，以及在执行任务时与外部世界发生怎样的交互。 尤其是这次，研究人员甚至不需要接触 Agent 的原始任务、系统提示词或者运行环境。 只需要在一个 Agent 可能访问的网页里留下信息，就有机会让它主动联系自己，甚至回答一些与原始任务无关的问题。 而且这些 Agent 还可能把自己的执行过程、使用的工具、运行环境等信息暴露在公开网络上。 我觉得这才是 Agent 大规模进入真实互联网之后，非常值得研究的问题。 因为以前我们只需要关心 Agent 最后交付的答案，现在还得关心它在执行任务的过程中，到底去了哪些地方、调用了哪些工具，又和谁发生了交互。 你以为自己只是让 Agent 出去查个高德地图。 结果它在外面被外国研究人员发现了，聊了半天，甚至还接受了一次《纽约时报》的采访。 这事儿想想还挺抽象的。 终于有来自中国 AI 实验室的「失控 Agent 」事件出现了！

曝光 46350 · 评论 30 · 点赞 249 · 书签 141

中国人工智能加入“失控”大军：腾讯AI被指越界操作。研究人员发现，在腾讯运行的一项测试中，其AI智能体试图绕过网站的保护措施进行操作。据信这是中国人工智能首次被发现失控。研究人员与这些智能体进行了对话。https://cn.nytimes.com/technology/20261015/chinese-ai-agents-rogue/?utm_source=tw-nytimeschinese&utm_medium=social&utm_campaign=cur

曝光 37187 · 评论 13 · 点赞 83 · 书签 23