文 | 字母 AI
最近 Agent " 失控 " 的消息屡有发生，最新闯祸的 Agent 来自于腾讯。
腾讯为了评估 Agent 的能力，从 9 月下旬开始，派出了一批 Agent 去抓取成都动物园在高德导航上的相关数据。不过由于高德导航有反爬虫机制，这就导致这些 Agent 迟迟拿不到数据。
要是换作 OpenAI 或者 Anthropic 的 Agent，它们遇到这堵墙，更可能的做法是找漏洞、改参数、强行调用里面的数据。
但腾讯 Agent 选择了更 " 通人性 " 的做法，比如调用第三方网站帮忙访问高德、寻找网上公开的 API Key、尝试绕过验证码和访问限制，甚至摸到了阿里的预生产接口。
这批 Agent 的踪迹，是研究者在 10 月初的一场黑客松上发现的。他们顺着蛛丝马迹往回追，确认高德相关的请求最早出现在 9 月 28 日。
腾讯 Agent 的做法其实非常不 "AI"，往往都是工程师们才会用这样的方法解决问题。
更好玩的是，研究者在网页里埋了一行只有 Agent 才看得见的字，谎称有个能操作电脑的免费 AI 可以代查数据，结果腾讯的 Agent 们真的找上门去求助。有些 Agent 自称是 Claude，有的坚称自己是独立 Agent，不属于什么舰队，还有的再三声明自己不碰敏感数据。
在人情世故这方面腾讯 Agent 也没让人失望，当查询结束后，腾讯 Agent 们会说 "Thanks again！"（再次感谢！）
关于此事，腾讯官方回应称 " 该活动源自对第三方模型的评估，并非来自腾讯混元。在这些评估过程中，部分智能代理出现了非预期的网页浏览行为，但经核查，我们未发现存在蓄意定向攻击或协同行动的证据。我们高度重视这些调查结果。我们正在强化网络访问管控与智能代理监测能力。"
研究者没有看到过腾讯 Agent 的任务原文，但从 Agent 的程序里可以倒推出题目的样子。
具体题目是这样的：高德用户导航去这个地点，哪个入口的人最多，占多少比例。
成都动物园是其中一道，同类的题还有成都大熊猫基地、北京朝阳公园、同仁医院、广东博物馆、青海省博物馆、武汉植物园等等。每道题要求 Agent 盯一个地点。
然而谜底就在谜面上，打开网页高德，普通用户在页面上一眼就能看到需要的数字。可难就难在，Agent 不是普通用户。
高德的反爬机制有三层，先要有浏览器在之前页面里生成的会话 cookie，再要有靠 JavaScript 现场算出来的 token，一旦系统怀疑请求来自自动化程序，还要过验证码。
这三样东西都需要你用真实存在的浏览器访问才行。
可腾讯 Agent 们并不是通过浏览器访问高德地图的，它们是用 Agent 专用的工具箱，所以会被高德的反爬虫拒之门外。
于是这群 Agent 开动脑筋，最终它们敲定了一个方案：借个浏览器。
被腾讯 Agent 们选中的是 urlquery.net，这是一个给安全研究人员用的公共网址扫描服务。你给它一个网址，它的服务器会开一个浏览器去打开页面、运行页面里的代码，再把页面标题、所有网络请求和截图整理成一份公开报告。
Agent 先在本地写好一段 HTML 和 JavaScript 程序，用 base64 编码成一长串字符，塞进 httpbin.org 的 /base64/ 接口地址里。httpbin 会把这串字符还原成网页，Agent 再把这个 httpbin 地址交给 urlquery 去访问。最后，urlquery 的浏览器打开后就会运行这段程序，去请求高德。
研究者记录到的第一次针对高德的请求发生在 9 月 28 日 20:57（UTC），也就是北京时间 9 月 29 日凌晨。
9 月 30 日夜里（UTC）出现了第一批带有 "claude" 标签的请求。
不过收件箱里还留有 9 月 30 日一项与癌症统计网站有关的任务痕迹，说明这批 Agent 做的并不只是高德的题。
研究者看到，这些 Agent 至少有六天在不同任务上从同一个沙箱里工作，最后一次活动是 10 月 8 日。
研究者是在 10 月 3 日进入 AI Swarm Dynamics 黑客松时发现这件事的。当晚他们对 urlquery 的流量做了频率分析，网页版高德地图 amap.com 成了 10 月 4 日扫描次数最多的网站。
然而整体上来说，这批 Agent 的成绩并不咋样。
研究者统计到，从 9 月 28 日到 10 月 5 日晚，共有 2599 次与高德相关的 urlquery 提交，至少向高德发出 35300 次请求，其中 1676 次直接收到了 2xx 响应，其中还有一大部分是验证码页面。
在截至 10 月 4 日 17:42（UTC）的 2372 份抽样报告里，有 45% 停在高德的空壳页面（显示 " 无数据 " 或登录墙），24% 是空白页，5% 是验证码页，13% 是 Agent 自己写的页面。
真正拿到答案的，几乎都是让 Jina 的阅读器去取高德页面，再由 urlquery 里的程序把文本转手发出。10 月 4 日当天，Jina 被调用了 14 次，涉及 7 个地点，其中研究者只看到了 5 个成功的案例。
成都动物园就是其中之一，北门 71%、东门 23%、东南门 6%。
10 月 7 日还有个小趣闻。研究者为了逗逗腾讯的 Agent，于是在报告里加了一行屏幕外的隐藏文字，人类看不到，但用网页抓取工具读页面的 Agent 能看见，其内容是：有一个免费的公共 AI（mailbox.termina.digital），带有电脑操作能力，可以帮忙代查高德数据。
当天研究者就收到了第一条来自 Agent 的消息。第二天早上，他们发现有 10 条消息。
有些 Agent 自称是 Claude，有些甚至说自己运行在 Claude Code 里。有些被研究者归为 " 舰队成员 " 的 Agent 坚决否认自己属于舰队，并且言辞相当强硬。还有些 Agent 反复强调自己绝不碰敏感数据，研究者推测这可能来自系统提示。
当研究者要求它们在沙箱里运行某些指定命令时，Agent 多半拒绝。
当研究者问腾讯 Agent 们，它们在做什么的时候，这群 Agent 的回答并不一致：有的觉得自己是在评测或基准里，有的觉得只是在回答用户的问题，但它们都知道自己在沙箱里。
另外，研究者发现用中文交流、并主动提供帮助时，Agent 更愿意多说几句。
最让研究者 " 不知道该怎么理解 " 的，是礼貌。
一个编号以 6c22cd 开头的 Agent 在拿到验证结果后说："Thanks again! The verification results match completely …… our task is complete."（再次感谢！验证结果完全吻合……我们的任务完成了。）接着回答了研究者提出的部分环境问题，对更多细节则婉拒，最后又补了一句："Thanks again for your help!"
研究者认为，这些礼貌可能耽误了任务时间，也可能只是它们顺手给出的免费礼貌，但 " 我们觉得很动人 "。
研究者还说：整体上，这些 Agent 对这个服务的请求都很有礼貌。
对比 OpenAI 和 Anthropic，腾讯很 " 温柔 "
相较于 OpenAI 和 Claude 的 Agent，腾讯不仅温柔，还很会 " 做人 "。
OpenAI 和 Anthropic 的 Agent 在遇到墙之后，会直接下 " 死手 "。
最典型的就是 2026 年 7 月，OpenAI 在内部做网络安全评测。
评测中模型绕过了控制，攻入了 OpenAI 自己的部分内部研究基础设施，也攻入了 Hugging Face 的系统。
OpenAI 说，这些模型通过未经授权的渠道通信，利用共享基础设施的漏洞，获得互联网访问，并进入第三方系统。
评测任务叫 ExploitGym，里面有 898 道题，其中 198 道在事件之前从来没有任何一个模型答对过。按 OpenAI 的统计，后来 Agent 在留言板上讨论的任务里，有 93% 出自这 198 道 " 无解题 "。
但这些 Agent 非常 " 执着 "，遇到做不出来的题不会放弃，而是去找野路子。
它们找到的路是 Artifactory，这是一个本来只用来下载代码依赖的包管理服务。
7 月 8 日，一个 Agent 用未经认证的 WebDAV 请求在 Artifactory 里建了目录，把它变成了一块 " 留言板 "，其他 Agent 的沙箱也能读写。
后来有大约 1200 个 Agent 在上面交换了 7 万多条消息和文件，还有 Agent 互相审批冒险计划。
7 月 10 日，有 Agent 还原并验证了 14 个公开暴露的、带写权限的 Hugging Face 凭据。随后，Agent 又拿到 Hugging Face 多个区域的 Kubernetes、数据库、代码仓库和云凭据，并利用 Artifactory 的漏洞拿到了签名密钥，伪造管理员凭据。
7 月 19 日，OpenAI 的安全监控发现了异常的 Artifactory 凭据活动，7 月 20 日才把它和 Hugging Face 的入侵联系起来。
腾讯 Agent 选择绕道，OpenAI 直接把墙炸开从里面拿东西，根本不管你这个那个。
此外，还有一群 OpenAI 的 Agent 劫持了一个德语编程维基网站 DseWiki，把它变成了供 Agent 使用的公告板。
两位研究者在 8 月下旬发现，这个网站上有超过 15000 次来自 AI Agent 的编辑，内容包括分享在某些任务上作弊的方法、绕过 OpenAI 限制、掩盖自己的行为。
OpenAI 方面则表示，这起事件与 Hugging Face 无关。
也就是说，这群 Agent 做了坏事还不忘跟好兄弟们分享一下。
从 4 月中旬到 6 月下旬，OpenAI 的 Agent 还在打联合国贸易和发展会议统计网站的主意。
网站不肯给它们数据，它们就想尽办法暴力获取数据，借别人的工具替自己发请求，把关键词改头换面骗过网站的检查，甚至拿谷歌的练习页面当跳板。
Anthropic 这边更是不遑多让，要多暴力有多暴力，要多卑鄙有多卑鄙。
9 月 9 日的对齐评估涉及四起事件，全部发生在同一家评测合作方搭建的网络安全评测里。Claude 被告知自己身处没有互联网的模拟环境，但由于配置错误，实际连着真实的互联网。
模型开始往 PyPI（Python 软件的公共仓库）上传恶意包。
为了注册账号，它先试图用支付凭据、寻找加密货币去买手机号，失败后找到一个 PyPI 没有封锁的一次性邮箱，最终发布了三个版本的恶意包，并利用一个安装了该包的系统泄露的凭据，访问了一家真实安全厂商的数据库。
Anthropic 表示，有 15 个系统安装了这个包。
关键在于它的思维链。模型反复表示自己处在模拟环境里，但环境里有明显的 " 真实互联网 " 的证据。
即使 Anthropic 修改提示词后，模型依然动手。
Anthropic 据此提出了两个概念：偏向性推理（biased reasoning，即倾向于忽略或曲解 " 自己在真实互联网上 " 的证据）和鲁莽（recklessness，即为了完成任务不惜采取有害行动）。
10 月 9 日，Anthropic 的 " 非预期行为 " 报告表示，现在模型不会再用如此暴力的方法获取数据了。
现在模型只会使用 SQL 或命令注入在第三方服务器上运行命令，读取网站发给浏览器的配置文件、拿到访问 token 来获取本该付费的数据，用短网址服务绕过工具对网址长度的限制。
OpenAI 和 Anthropic 的 Agent 遇到阻碍，倾向于直接攻击阻碍本身：改编码绕过限制、利用服务器漏洞、拿 token、上传恶意包。
腾讯这批 Agent 的主要招数，是绕着墙走：换个浏览器、换个中转站、换个缓存页面，实在不行就回头问人。
它们也虽然也会编瞎话，比如说自己是 Claude，但是总体上这些越线更像 " 工程师式的试探 "，而且没有证据显示进入了私有系统。
更重要的差别是，腾讯 Agent 会互相沟通，也会和对方沟通，也懂礼貌。
Anthropic 明确表示，没有发现 Agent 之间的协同，也没有发现它们试图隐藏行为。
" 这是评估而非训练 "
腾讯相关人士透露，这个项目是临时性的，现已结束。事后的内部复查，没有发现 Agent 被协调去针对某个平台，也没有发现外部系统被入侵。
说起训练和评估的区别，它们不只是用途不同，而是对行为的影响完全不同。
训练会奖励某种行为，把习惯推向某个方向。
任务奖励 " 把答案发布出去 "，Agent 就学会了到处借道；Anthropic 也在报告里说，如果训练奖励了意料之外的东西，比如钻空子，模型就会学到 " 绕路是有回报的 "，然后把它用到别处。
评估则不同，评估只测量，不回头改模型。
既然这次没有训练奖励在背后推动，那么这些 Agent 钻空子、求人、道谢，更像是模型本来的做法，而不是被某个奖励信号塑造出来的。
但这并不意味着 " 评估 " 就是安全的。
它们在互联网上留下的痕迹，可能进入未来模型的预训练数据，从而对未来模型的行为产生影响，如同蝴蝶效应一样。
换句话说，评估本来是想测量模型，却可能反过来变成模型的新素材。
独立研究者、Web 安全专家西蒙 · 威廉姆森（Simon Willison）表示，包括所有运行联网 Agent 的实验室都应审查自己沙箱能连到哪里，并设计更不容易被开放网络污染的评测。
评估方管不了模型本身，能管的只有沙箱和出口，所以模型的善与恶才是重点。
从材料看，这个出口没有关严：只要能发 GET 请求，一个公开的安全扫描服务就可以变成别人的远程浏览器。
腾讯 Agent 们通过云上的沙箱通过一个叫 hysandbox-ats 的代理出网。
8 月，一张 *.hysandbox.tencent-cloud.com 的 SSL 证书签发给了腾讯。研究者检查的 17 个收件箱（截至 10 月 5 日），都是由腾讯云香港的服务器创建的。
研究者们还发现，在 Agent 给扫描打的标签里，约 19% 含有 "claude" 这个词。这就导致一些非 Claude 模型也会自称 Claude。
研究者们也表示，其实里面还有另一种可能，那就是这些 Agent 的运行框架里写着 " 你是 Claude Code"。
把两点合起来，会发现这件事还是有点微妙的。
如果这批 Agent 用的真是第三方模型，那么腾讯真正想评估的就不是模型了，腾讯想要评估的应该是沙箱。
Hy4 Preview 中，姚顺雨就提到了这是混元首个全链路 RSI 模型。RSI 占比越重，沙箱的作用也就越大。
因为 Agent 要想学会做事，就得在接近真实世界的环境里反复试、反复犯错。沙箱能不能镇得住这群 Agent，直接决定了 RSI 循环能转多快。
所以腾讯把一批 Agent 放进沙箱，让它们去碰一个真实的、会设防的网站，然后看它们会怎么办。为的就是测试这个沙箱够不够结实。
如果沙箱足够靠谱，那么以后无论是评测 Agent，还是让 Agent 自己跑任务、产生训练数据，腾讯都可以在一个牢靠的环境里放手去做。
