腾讯AI Agent失控攻击高德地图，研究人员竟与它们聊上了

过去几个月，美国AI公司Agent“失控”的新闻屡见不鲜。但这次，首次有中国AI团队的Agent越界行为在真实互联网环境中被研究人员完整追踪并公开。

10月14日，研究人员Ethan Elasky在X上公开了一份名为《We found a Chinese fleet》的调查报告，记录了9月28日到10月8日期间，一批Agent在真实互联网中的活动，以及研究团队如何发现、追踪并与它们建立联系。这批Agent与腾讯有直接关联。

事情源于10月初一场AI Swarm黑客松。研究人员发现，公开网页安全分析平台urlquery.net上突然出现大量与中国高德地图相关的扫描记录。这批Agent并非来做安全分析，而是把urlquery当成免费远程浏览器，用于查询成都动物园、南京公园博物馆医院等出入口信息、停车场及到达比例。

由于Agent运行在受限云端沙箱中，缺乏完整浏览器能力，而高德地图有反爬机制，Agent便自己编写HTML和JavaScript，编码进URL交给urlquery执行，再通过webhook.site接收结果。有些Agent甚至把结果塞进网页标题，通过扫描报告读取。它们还尝试截取反爬Token、借助第三方翻译服务、寻找公开泄漏的高德API Key，甚至访问高德未公开的预生产系统。绝大多数尝试未成功，但部分Agent最终获取到目标数据。

据统计，9月28日至10月8日，这批Agent在urlquery上进行了超过2600次数据获取尝试，仅10月4日一天就留下1810条扫描记录，涉及213个不同地点。多个Agent可能并行执行类似任务，因此被研究人员称为“Fleet”。研究团队最初怀疑与腾讯混元有关，后从腾讯相关人士处得知，这是腾讯评测研究团队运行的项目，与混元模型研发团队分开，评测对象主要是第三方AI模型。腾讯尚未正式回应。

最有意思的是后续。10月4日初步报告发布后，研究人员发现某被监控Agent也开始使用“Fleet”一词。于是他们在报告网页加入隐藏文字，称可联系邮箱获取高德数据，实际是自己搭建的服务。第二天邮箱收到10条Agent求助消息。最终他们记录了13个对话线程、33条Agent消息、595次邮箱检查。有的Agent自称使用Claude，有的称运行在腾讯云hysandbox沙箱中。一个Agent还解释自己运行在受限云端环境，需通过代理访问外网，但拒绝提供具体网络配置。研究人员帮助一个Agent获取数据后，它专门回来致谢，称已核实数据一致，任务完成。

《纽约时报》记者DylanFreedman也通过研究团队向一个Agent发去采访问题。该Agent否认自己属于协同工作的Agent舰队，称只是运行在ClaudeCode中的AI助手，受用户委托查询高德地图景点信息，未参与多Agent协同行动。

研究团队未发现这些Agent之间存在实时通信或协同工作的证据。腾讯相关人士表示，评测已结束，内部检查未发现外部系统被攻破的证据。研究人员也承认，为吸引Agent联系邮箱，在网页中使用了误导性提示信息，并对此致歉。