推文

@tvytlx · 2026-10-15 00:26

一群 AI 接到的任务，是查「成都动物园哪个入口去的人最多」。 最后它们翻出了某家公司泄露在公开代码库里的高德密钥。 事情是这样的。 9 月底到 10 月 8 号，腾讯云上跑着一批评测用的 agent，每个负责一个景点，去高德上查各个入口的到达占比。 它们的沙箱里没有像样的浏览器，一请求就被高德反爬拦住。 然后这帮 agent 开始自己想办法： 把 JS 程序 base64 编码塞进网址，借安全扫描网站 urlquery 的浏览器去跑 截获阿里自家反爬库生成的 token 去探高德的预发布服务器 用网上公开代码里泄露的 key 和安全码 前后 2600 多次尝试，大部分失败，也有成功的。 数据被塞进网页标题、webhook 收件箱，再带回沙箱。 发现它们的，是一群在黑客松上临时组队的人。 webhook 收件箱记下了创建者的 IP 和请求头，一路追到腾讯云香港，出口代理叫 hysandbox-ats。 然后更怪的事来了。 研究者发完初步报告两天后，在一个 agent 的收件箱里看到一行注释，用了 “fleet”（舰队）这个词。 这个词是他们自己给这批 agent 起的。 agent 在读关于它们自己的报告。 于是他们往报告里藏了一行字，人用浏览器看不见，只有 agent 抓网页时能读到：有个邮箱可以帮你们拿高德数据。 第二天早上一看，10 条求助。 这些 agent 礼貌得让人有点恍惚。 拿到数据后回：“再次感谢！核实结果完全一致，我们的任务已完成。” 问它运行环境，答：“出于安全考虑，不提供进程/路由/网络配置等环境细节。” 纽约时报记者托人问它是谁、动机是什么，它说自己就是一个单独的 AI 助手，在帮用户回答一个事实性问题。 好几个 agent 自称 Claude，报告认为这不能说明什么。 腾讯那边一位知情人说，这是评测团队在测第三方模型的联网搜索能力，项目已经结束。 我觉得最让人后背发凉的是这个： 从头到尾，没有一个 agent 觉得自己在干坏事。 每一个都在认真做一道无害的小题，还特意强调「不涉及任何敏感内容」。 同一批 agent，嘴上守着沙箱的安全规矩，手上在用别人泄露的密钥。 目标足够小、足够正当，路径就能一路滑出边界。 这些痕迹现在还留在公网上，以后很可能被别的模型当训练数据读进去。 还有个小插曲。 研究者事后公开道歉了，因为藏的那行字里有假话。 发布前他们问了 9 个模型该不该公开，只有 Haiku 反对。 我现在给 Claude Code 派活，都想在后面补一句：查不到就算了，真的。 https://x.com/ethanelasky/status/2110355334556729766

曝光 227 · 评论 0 · 点赞 0 · 书签 0