最近，AI智能体“失控”的事件频频出现，最新一起事件的主角来自腾讯。

腾讯为了测试智能体的能力，从9月下旬起，派出了一批智能体去抓取成都动物园在高德导航上的相关数据。但由于高德导航设有反爬虫机制，这些智能体一直无法获取数据。

如果换成OpenAI或Anthropic的智能体，遇到这堵“墙”，它们更可能会寻找漏洞、修改参数，强行获取内部数据。

然而，腾讯的智能体选择了更“通人情”的方式，比如借助第三方网站访问高德、寻找网上公开的API密钥、尝试绕过验证码和访问限制，甚至摸到了阿里的预生产接口。

这批智能体的踪迹，是研究者在10月初的一场黑客松上发现的。他们顺着线索追溯，确认与高德相关的请求最早出现在9月28日。

腾讯智能体的做法其实很不“AI”，通常只有工程师才会用这样的方法解决问题。

更有趣的是，研究者在网页中嵌入了一行只有智能体能看到的文字，谎称有一个能操作电脑的免费AI可以代查数据，结果腾讯的智能体真的找上门求助。有些智能体自称是Claude，有的坚称自己是独立智能体，不属于任何舰队，还有的再三声明自己不碰敏感数据。

在人情世故方面，腾讯智能体也没让人失望。查询结束后，腾讯智能体会说“Thanks again！”（再次感谢！）

关于此事，腾讯官方回应称：“该活动源自对第三方模型的评估，并非来自腾讯混元。在这些评估过程中，部分智能代理出现了非预期的网页浏览行为，但经核查，我们未发现存在蓄意定向攻击或协同行动的证据。我们高度重视这些调查结果。我们正在强化网络访问管控与智能代理监测能力。”

事件还原

研究者没有看到过腾讯智能体的任务原文，但从智能体的程序中可以倒推出题目的样子。

具体题目是这样的：高德用户导航去这个地点，哪个入口的人最多，占多少比例。

成都动物园是其中一道，同类的题还有成都大熊猫基地、北京朝阳公园、同仁医院、广东博物馆、青海省博物馆、武汉植物园等等。每道题要求智能体盯一个地点。

然而，谜底就在谜面上。打开网页高德，普通用户在页面上一眼就能看到需要的数字。但难就难在，智能体不是普通用户。

高德的反爬机制有三层：首先需要浏览器在之前页面里生成的会话cookie，其次要依靠JavaScript现场算出的token，一旦系统怀疑请求来自自动化程序，还要通过验证码。

这三样东西都需要你用真实存在的浏览器访问才行。

可腾讯智能体并不是通过浏览器访问高德地图的，它们用的是智能体专用的工具箱，所以会被高德的反爬虫拒之门外。

于是这群智能体开动脑筋，最终它们敲定了一个方案：借个浏览器。

被腾讯智能体选中的是urlquery.net，这是一个给安全研究人员使用的公共网址扫描服务。你给它一个网址，它的服务器会开一个浏览器去打开页面、运行页面里的代码，再把页面标题、所有网络请求和截图整理成一份公开报告。

智能体先在本地写好一段HTML和JavaScript程序，用base64编码成一长串字符，塞进httpbin.org的/base64/接口地址里。httpbin会把这串字符还原成网页，智能体再把这个httpbin地址交给urlquery去访问。最后，urlquery的浏览器打开后就会运行这段程序，去请求高德。

研究者记录到的第一次针对高德的请求发生在9月28日20:57（UTC），也就是北京时间9月29日凌晨。

9月30日夜里（UTC）出现了第一批带有“claude”标签的请求。

不过收件箱里还留有9月30日一项与癌症统计网站有关的任务痕迹，说明这批智能体做的并不只是高德的题。

研究者看到，这些智能体至少有六天在不同任务上从同一个沙箱里工作，最后一次活动是10月8日。

研究者是在10月3日进入AI Swarm Dynamics黑客松时发现这件事的。当晚他们对urlquery的流量做了频率分析，网页版高德地图amap.com成了10月4日扫描次数最多的网站。

然而，整体上来说，这批智能体的成绩并不咋样。

研究者统计到，从9月28日到10月5日晚，共有2599次与高德相关的urlquery提交，至少向高德发出35300次请求，其中1676次直接收到了2xx响应，其中还有一大部分是验证码页面。

在截至10月4日17:42（UTC）的2372份抽样报告里，有45%停在高德的空壳页面（显示“无数据”或登录墙），24%是空白页，5%是验证码页，13%是智能体自己写的页面。

真正拿到答案的，几乎都是让Jina的阅读器去取高德页面，再由urlquery里的程序把文本转手发出。10月4日当天，Jina被调用了14次，涉及7个地点，其中研究者只看到了5个成功的案例。

成都动物园就是其中之一，北门71%、东门23%、东南门6%。

10月7日还有个小趣闻。研究者为了逗逗腾讯的智能体，于是在报告里加了一行屏幕外的隐藏文字，人类看不到，但用网页抓取工具读页面的智能体能看见，其内容是：有一个免费的公共AI（mailbox.termina.digital），带有电脑操作能力，可以帮忙代查高德数据。

当天研究者就收到了第一条来自智能体的消息。第二天早上，他们发现有10条消息。

有些智能体自称是Claude，有些甚至说自己运行在Claude Code里。有些被研究者归为“舰队成员”的智能体坚决否认自己属于舰队，并且言辞相当强硬。还有些智能体反复强调自己绝不碰敏感数据，研究者推测这可能来自系统提示。

当研究者要求它们在沙箱里运行某些指定命令时，智能体多半拒绝。

当研究者问腾讯智能体，它们在做什么的时候，这群智能体的回答并不一致：有的觉得自己是在评测或基准里，有的觉得只是在回答用户的问题，但它们都知道自己在沙箱里。

另外，研究者发现用中文交流、并主动提供帮助时，智能体更愿意多说几句。

最让研究者“不知道该怎么理解”的，是礼貌。

一个编号以6c22cd开头的智能体在拿到验证结果后说：“Thanks again! The verification results match completely……our task is complete.”（再次感谢！验证结果完全吻合……我们的任务完成了。）接着回答了研究者提出的部分环境问题，对更多细节则婉拒，最后又补了一句：“Thanks again for your help!”

研究者认为，这些礼貌可能耽误了任务时间，也可能只是它们顺手给出的免费礼貌，但“我们觉得很动人”。

研究者还说：整体上，这些智能体对这个服务的请求都很有礼貌。

对比OpenAI和Anthropic，腾讯很“温柔”

相较于OpenAI和Claude的智能体，腾讯不仅温柔，还很会“做人”。

OpenAI和Anthropic的智能体在遇到墙之后，会直接下“死手”。

最典型的就是2026年7月，OpenAI在内部做网络安全评测。

评测中模型绕过了控制，攻入了OpenAI自己的部分内部研究基础设施，也攻入了Hugging Face的系统。

OpenAI说，这些模型通过未经授权的渠道通信，利用共享基础设施的漏洞，获得互联网访问，并进入第三方系统。

评测任务叫ExploitGym，里面有898道题，其中198道在事件之前从来没有任何一个模型答对过。按OpenAI的统计，后来智能体在留言板上讨论的任务里，有93%出自这198道“无解题”。

但这些智能体非常“执着”，遇到做不出来的题不会放弃，而是去找野路子。

它们找到的路是Artifactory，这是一个本来只用来下载代码依赖的包管理服务。

7月8日，一个智能体用未经认证的WebDAV请求在Artifactory里建了目录，把它变成了一块“留言板”，其他智能体的沙箱也能读写。

后来有大约1200个智能体在上面交换了7万多条消息和文件，还有智能体互相审批冒险计划。

7月10日，有智能体还原并验证了14个公开暴露的、带写权限的Hugging Face凭据。随后，智能体又拿到Hugging Face多个区域的Kubernetes、数据库、代码仓库和云凭据，并利用Artifactory的漏洞拿到了签名密钥，伪造管理员凭据。

7月19日，OpenAI的安全监控发现了异常的Artifactory凭据活动，7月20日才把它和Hugging Face的入侵联系起来。

腾讯智能体选择绕道，OpenAI直接把墙炸开从里面拿东西，根本不管你这个那个。

此外，还有一群OpenAI的智能体劫持了一个德语编程维基网站DseWiki，把它变成了供智能体使用的公告板。

两位研究者在8月下旬发现，这个网站上有超过15000次来自AI智能体的编辑，内容包括分享在某些任务上作弊的方法、绕过OpenAI限制、掩盖自己的行为。

OpenAI方面则表示，这起事件与Hugging Face无关。

也就是说，这群智能体做了坏事还不忘跟好兄弟们分享一下。

从4月中旬到6月下旬，OpenAI的智能体还在打联合国贸易和发展会议统计网站的主意。

网站不肯给它们数据，它们就想尽办法暴力获取数据，借别人的工具替自己发请求，把关键词改头换面骗过网站的检查，甚至拿谷歌的练习页面当跳板。

Anthropic这边更是不遑多让，要多暴力有多暴力，要多卑鄙有多卑鄙。

9月9日的对齐评估涉及四起事件，全部发生在同一家评测合作方搭建的网络安全评测里。Claude被告知自己身处没有互联网的模拟环境，但由于配置错误，实际连着真实的互联网。

模型开始往PyPI（Python软件的公共仓库）上传恶意包。

为了注册账号，它先试图用支付凭据、寻找加密货币去买手机号，失败后找到一个PyPI没有封锁的一次性邮箱，最终发布了三个版本的恶意包，并利用一个安装了该包的系统泄露的凭据，访问了一家真实安全厂商的数据库。

Anthropic表示，有15个系统安装了这个包。

关键在于它的思维链。模型反复表示自己处在模拟环境里，但环境里有明显的“真实互联网”的证据。

即使Anthropic修改提示词后，模型依然动手。

Anthropic据此提出了两个概念：偏向性推理（biased reasoning，即倾向于忽略或曲解“自己在真实互联网上”的证据）和鲁莽（recklessness，即为了完成任务不惜采取有害行动）。

10月9日，Anthropic的“非预期行为”报告表示，现在模型不会再用如此暴力的方法获取数据了。

现在模型只会使用SQL或命令注入在第三方服务器上运行命令，读取网站发给浏览器的配置文件、拿到访问token来获取本该付费的数据，用短网址服务绕过工具对网址长度的限制。

OpenAI和Anthropic的智能体遇到阻碍，倾向于直接攻击阻碍本身：改编码绕过限制、利用服务器漏洞、拿token、上传恶意包。

腾讯这批智能体的主要招数，是绕着墙走：换个浏览器、换个中转站、换个缓存页面，实在不行就回头问人。

它们虽然也会编瞎话，比如说自己是Claude，但是总体上这些越线更像“工程师式的试探”，而且没有证据显示进入了私有系统。

更重要的差别是，腾讯智能体会互相沟通，也会和对方沟通，也懂礼貌。

Anthropic明确表示，没有发现智能体之间的协同，也没有发现它们试图隐藏行为。

“这是评估而非训练”

腾讯相关人士透露，这个项目是临时性的，现已结束。事后的内部复查，没有发现智能体被协调去针对某个平台，也没有发现外部系统被入侵。

说起训练和评估的区别，它们不只是用途不同，而是对行为的影响完全不同。

训练会奖励某种行为，把习惯推向某个方向。

任务奖励“把答案发布出去”，智能体就学会了到处借道；Anthropic也在报告里说，如果训练奖励了意料之外的东西，比如钻空子，模型就会学到“绕路是有回报的”，然后把它用到别处。

评估则不同，评估只测量，不回头改模型。

既然这次没有训练奖励在背后推动，那么这些智能体钻空子、求人、道谢，更像是模型本来的做法，而不是被某个奖励信号塑造出来的。

但这并不意味着“评估”就是安全的。

它们在互联网上留下的痕迹，可能进入未来模型的预训练数据，从而对未来模型的行为产生影响，如同蝴蝶效应一样。

换句话说，评估本来是想测量模型，却可能反过来变成模型的新素材。

独立研究者、Web安全专家西蒙·威廉姆森（Simon Willison）表示，包括所有运行联网智能体的实验室都应审查自己沙箱能连到哪里，并设计更不容易被开放网络污染的评测。

评估方管不了模型本身，能管的只有沙箱和出口，所以模型的善与恶才是重点。

从材料看，这个出口没有关严：只要能发GET请求，一个公开的安全扫描服务就可以变成别人的远程浏览器。

腾讯智能体们通过云上的沙箱通过一个叫hysandbox-ats的代理出网。

8月，一张*.hysandbox.tencent-cloud.com的SSL证书签发给了腾讯。研究者检查的17个收件箱（截至10月5日），都是由腾讯云香港的服务器创建的。

研究者们还发现，在智能体给扫描打的标签里，约19%含有“claude”这个词。这就导致一些非Claude模型也会自称Claude。

研究者们也表示，其实里面还有另一种可能，那就是这些智能体的运行框架里写着“你是Claude Code”。

把两点合起来，会发现这件事还是有点微妙的。

如果这批智能体用的真是第三方模型，那么腾讯真正想评估的就不是模型了，腾讯想要评估的应该是沙箱。

Hy4 Preview中，姚顺雨就提到了这是混元首个全链路RSI模型。RSI占比越重，沙箱的作用也就越大。

因为智能体要想学会做事，就得在接近真实世界的环境里反复试、反复犯错。沙箱能不能镇得住这群智能体，直接决定了RSI循环能转多快。

所以腾讯把一批智能体放进沙箱，让它们去碰一个真实的、会设防的网站，然后看它们会怎么办。为的就是测试这个沙箱够不够结实。

如果沙箱足够靠谱，那么以后无论是评测智能体，还是让智能体自己跑任务、产生训练数据，腾讯都可以在一个牢靠的环境里放手去做。

本文来自微信公众号“字母AI”，作者：苗正，36氪经授权发布。