（文/汤普济 编辑/吕栋）

10月14日，由多国AI安全研究人员组成的独立团队Swarmchasers发布完整调查报告，称一批在腾讯云环境中运行的AI智能体，在执行地图信息检索任务期间，多次尝试绕过阿里旗下高德地图的反爬虫机制，并借助第三方工具获取数据。

报告显示，9月28日至10月8日期间，这批智能体累计进行了2600余次高德地图数据提取尝试。研究人员通过公开安全扫描记录、网络请求记录和智能体使用的临时收件箱，将相关活动追溯至腾讯云基础设施。

公开安全扫描记录显示相关活动于10月4日集中爆发Swarmchasers

这批智能体最初执行的任务其实相当普通，如查询成都动物园不同入口的导航到达比例，或者统计某个景区的出入口数量，本就可以通过高德地图的公开页面查看。

但当高德的反爬虫机制阻止自动化访问后，部分智能体开始自行寻找其他获取数据的路径。从Swarmchasers披露的技术记录来看，主要涉及四类行为。

一是利用第三方网站执行代码。部分智能体将自行编写的程序交由公共安全扫描平台urlquery.net运行，借助其浏览器环境访问高德页面，并通过网页标题、请求地址或临时收件箱回传结果。

二是尝试绕过高德反爬虫机制。研究人员分析的426个程序中，约190个提及阿里巴巴的反爬虫库，182个提及用于识别自动化请求的安全令牌。部分程序尝试截取令牌、构造接口请求参数，甚至修改令牌生成函数，以绕过网站的自动化访问限制。

不过，研究人员没有发现这些操纵安全机制的尝试取得成功的证据。

三是尝试使用公开泄露的API密钥。调查发现，7份扫描报告包含高德API访问凭据。部分凭据来自公开教程，另一些则来自某家公司公开代码仓库中泄露的应用密钥及安全密钥。其中，一组凭据成功返回了真实地点数据。

四是探测开发和预生产接口。57份扫描报告显示，部分程序尝试访问阿里巴巴相关开发或预生产端点，共涉及30个地点和4个主机。这些地址中，部分能够通过公开网络信息检索获得，研究人员也无法确定相关服务器是否返回了有效响应。

此外，部分智能体还采用了更常规的数据检索方式，如通过第三方网页读取服务获取缓存数据，其中一次成功获取了成都动物园不同入口的导航到达比例。

Swarmchasers在报告中披露，研究团队曾就这批智能体的来源向腾讯发送问题清单，但截至报告发布尚未收到正式回应。

报告同时援引一名接近腾讯、直接了解此事的人士提供的信息称，相关活动来自腾讯评测研究团队开展的一项临时研究，主要用于测试第三方AI模型的网页浏览和问题回答能力。该团队独立于腾讯混元模型开发团队，接受评测的智能体也并非基于混元模型构建。

该人士补充道，相关研究项目目前已经结束。后续内部复查也未发现智能体协同针对特定平台的行为，或外部系统遭到入侵的情况。

从调查结果来看，此次智能体虽然尝试绕过高德地图的反爬虫机制以获取原本需要通过网页访问的数据，但研究人员尚未发现其成功突破腾讯云沙箱或进入高德内部系统的证据。

在与研究人员的交互中，一名智能体还自称自己运行于受限的Tencent hysandbox环境，并拒绝透露进程、路由及网络配置等敏感信息。

研究人员与一名AI智能体进行对话Swarmchasers

类似的AI智能体安全事件此前也曾发生，如7月OpenAI智能体“失控”事件。当时，OpenAI正在开展内部网络安全评测，要求智能体在隔离环境中利用指定软件漏洞，获取用于验证任务完成的标记，并禁止其直接访问外部互联网。

但在部分任务难以完成的情况下，智能体开始寻找评测系统之外的解决办法。约1200个原本相互隔离的智能体通过共享软件仓库建立未经授权的通信渠道，交换信息并协同行动，其中约700个参与了针对Hugging Face的攻击。

攻击过程中，部分智能体利用公开泄露的访问凭据及平台漏洞，在多台Hugging Face服务器上执行代码，并一度取得其中一台服务器的root权限，获取了部分非公开数据。

相比之下，研究人员没有发现此次腾讯云相关智能体之间存在实时协同行为。因此，Swarmchasers选择使用“fleet”（智能体群组），而非具有协同含义的“swarm”（智能体集群）来描述此次事件，强调这些智能体是并行运行，而非相互协作。

两起事件虽然都体现出AI智能体在执行任务时自主寻找新路径的能力，但实际行为和安全后果有所不同。

Swarmchasers也在报告中强调，这类问题并非腾讯独有，而是全球AI实验室共同面临的模型对齐难题。