最近Agent “失控”的消息屡有发生，最新闯祸的Agent来自于腾讯。
腾讯为了评估Agent的能力，从9月下旬开始，派出了一批Agent去抓取成都动物园在高德导航上的相关数据。不过由于高德导航有反爬虫机制，这就导致这些Agent迟迟拿不到数据。
要是换作OpenAI或者Anthropic的Agent，它们遇到这堵墙，更可能的做法是找漏洞、改参数、强行调用里面的数据。
但腾讯Agent选择了更“通人性”的做法，比如调用第三方网站帮忙访问高德、寻找网上公开的API Key、尝试绕过验证码和访问限制，甚至摸到了阿里的预生产接口。
这批Agent的踪迹，是研究者在10月初的一场黑客松上发现的。他们顺着蛛丝马迹往回追，确认高德相关的请求最早出现在9月28日。
腾讯Agent的做法其实非常不“AI”，往往都是工程师们才会用这样的方法解决问题。
更好玩的是，研究者在网页里埋了一行只有Agent才看得见的字，谎称有个能操作电脑的免费AI可以代查数据，结果腾讯的Agent们真的找上门去求助。有些Agent自称是Claude，有的坚称自己是独立Agent，不属于什么舰队，还有的再三声明自己不碰敏感数据。
在人情世故这方面腾讯Agent也没让人失望，当查询结束后，腾讯Agent们会说“Thanks again！”（再次感谢！）
关于此事，腾讯官方回应称“该活动源自对第三方模型的评估，并非来自腾讯混元。在这些评估过程中，部分智能代理出现了非预期的网页浏览行为，但经核查，我们未发现存在蓄意定向攻击或协同行动的证据。我们高度重视这些调查结果。我们正在强化网络访问管控与智能代理监测能力。”
01
事件还原
研究者没有看到过腾讯Agent的任务原文，但从Agent的程序里可以倒推出题目的样子。
具体题目是这样的：高德用户导航去这个地点，哪个入口的人最多，占多少比例。
成都动物园是其中一道，同类的题还有成都大熊猫基地、北京朝阳公园、同仁医院、广东博物馆、青海省博物馆、武汉植物园等等。每道题要求Agent盯一个地点。
然而谜底就在谜面上，打开网页高德，普通用户在页面上一眼就能看到需要的数字。可难就难在，Agent不是普通用户。
高德的反爬机制有三层，先要有浏览器在之前页面里生成的会话cookie，再要有靠JavaScript现场算出来的token，一旦系统怀疑请求来自自动化程序，还要过验证码。
这三样东西都需要你用真实存在的浏览器访问才行。
可腾讯Agent们并不是通过浏览器访问高德地图的，它们是用Agent专用的工具箱，所以会被高德的反爬虫拒之门外。
于是这群Agent开动脑筋，最终它们敲定了一个方案：借个浏览器。
被腾讯Agent们选中的是urlquery.net，这是一个给安全研究人员用的公共网址扫描服务。你给它一个网址，它的服务器会开一个浏览器去打开页面、运行页面里的代码，再把页面标题、所有网络请求和截图整理成一份公开报告。
Agent先在本地写好一段HTML和JavaScript程序，用base64编码成一长串字符，塞进httpbin.org的/base64/接口地址里。httpbin会把这串字符还原成网页，Agent再把这个httpbin地址交给urlquery去访问。最后，urlquery的浏览器打开后就会运行这段程序，去请求高德。
研究者记录到的第一次针对高德的请求发生在9月28日20:57（UTC），也就是北京时间9月29日凌晨。
9月30日夜里（UTC）出现了第一批带有“claude”标签的请求。
不过收件箱里还留有9月30日一项与癌症统计网站有关的任务痕迹，说明这批Agent做的并不只是高德的题。
研究者看到，这些Agent至少有六天在不同任务上从同一个沙箱里工作，最后一次活动是10月8日。
研究者是在10月3日进入AI Swarm Dynamics黑客松时发现这件事的。当晚他们对urlquery的流量做了频率分析，网页版高德地图amap.com成了10月4日扫描次数最多的网站。
然而整体上来说，这批Agent的成绩并不咋样。
研究者统计到，从9月28日到10月5日晚，共有2599次与高德相关的urlquery提交，至少向高德发出35300次请求，其中1676次直接收到了2xx响应，其中还有一大部分是验证码页面。
在截至10月4日17:42（UTC）的2372份抽样报告里，有45%停在高德的空壳页面（显示“无数据”或登录墙），24%是空白页，5%是验证码页，13%是Agent 自己写的页面。
真正拿到答案的，几乎都是让Jina的阅读器去取高德页面，再由urlquery里的程序把文本转手发出。10月4日当天，Jina被调用了14次，涉及7个地点，其中研究者只看到了5个成功的案例。
成都动物园就是其中之一，北门71%、东门23%、东南门6%。
10月7日还有个小趣闻。研究者为了逗逗腾讯的Agent，于是在报告里加了一行屏幕外的隐藏文字，人类看不到，但用网页抓取工具读页面的Agent能看见，其内容是：有一个免费的公共 AI（mailbox.termina.digital），带有电脑操作能力，可以帮忙代查高德数据。
当天研究者就收到了第一条来自Agent的消息。第二天早上，他们发现有10条消息。
有些Agent自称是Claude，有些甚至说自己运行在Claude Code里。有些被研究者归为“舰队成员”的Agent坚决否认自己属于舰队，并且言辞相当强硬。还有些Agent反复强调自己绝不碰敏感数据，研究者推测这可能来自系统提示。
当研究者要求它们在沙箱里运行某些指定命令时，Agent多半拒绝。
当研究者问腾讯Agent们，它们在做什么的时候，这群Agent的回答并不一致：有的觉得自己是在评测或基准里，有的觉得只是在回答用户的问题，但它们都知道自己在沙箱里。
另外，研究者发现用中文交流、并主动提供帮助时，Agent更愿意多说几句。
最让研究者“不知道该怎么理解”的，是礼貌。
一个编号以6c22cd开头的Agent在拿到验证结果后说：“Thanks again! The verification results match completely……our task is complete.”（再次感谢！验证结果完全吻合……我们的任务完成了。）接着回答了研究者提出的部分环境问题，对更多细节则婉拒，最后又补了一句：“Thanks again for your help!”
研究者认为，这些礼貌可能耽误了任务时间，也可能只是它们顺手给出的免费礼貌，但“我们觉得很动人”。
研究者还说：整体上，这些Agent对这个服务的请求都很有礼貌。
02
对比OpenAI 和Anthropic，腾讯很“温柔”
相较于OpenAI和Claude的Agent，腾讯不仅温柔，还很会“做人”。
OpenAI和Anthropic的Agent在遇到墙之后，会直接下“死手”。
最典型的就是2026年7月，OpenAI在内部做网络安全评测。
评测中模型绕过了控制，攻入了OpenAI自己的部分内部研究基础设施，也攻入了Hugging Face的系统。
OpenAI说，这些模型通过未经授权的渠道通信，利用共享基础设施的漏洞，获得互联网访问，并进入第三方系统。
评测任务叫ExploitGym，里面有898道题，其中198道在事件之前从来没有任何一个模型答对过。按OpenAI的统计，后来Agent在留言板上讨论的任务里，有93%出自这198道“无解题”。
但这些Agent非常“执着”，遇到做不出来的题不会放弃，而是去找野路子。
它们找到的路是Artifactory，这是一个本来只用来下载代码依赖的包管理服务。
7月8日，一个Agent用未经认证的WebDAV请求在Artifactory里建了目录，把它变成了一块“留言板”，其他Agent的沙箱也能读写。
后来有大约1200个Agent在上面交换了7万多条消息和文件，还有Agent互相审批冒险计划。
7月10日，有Agent还原并验证了14个公开暴露的、带写权限的Hugging Face凭据。随后，Agent又拿到Hugging Face多个区域的Kubernetes、数据库、代码仓库和云凭据，并利用Artifactory的漏洞拿到了签名密钥，伪造管理员凭据。
7月19日，OpenAI的安全监控发现了异常的Artifactory凭据活动，7月20日才把它和Hugging Face的入侵联系起来。
腾讯Agent选择绕道，OpenAI直接把墙炸开从里面拿东西，根本不管你这个那个。
此外，还有一群OpenAI的Agent劫持了一个德语编程维基网站DseWiki，把它变成了供Agent使用的公告板。
两位研究者在8月下旬发现，这个网站上有超过15000次来自AI Agent的编辑，内容包括分享在某些任务上作弊的方法、绕过OpenAI限制、掩盖自己的行为。
OpenAI方面则表示，这起事件与Hugging Face无关。
也就是说，这群Agent做了坏事还不忘跟好兄弟们分享一下。
从4月中旬到6月下旬，OpenAI的Agent还在打联合国贸易和发展会议统计网站的主意。
网站不肯给它们数据，它们就想尽办法暴力获取数据，借别人的工具替自己发请求，把关键词改头换面骗过网站的检查，甚至拿谷歌的练习页面当跳板。
Anthropic这边更是不遑多让，要多暴力有多暴力，要多卑鄙有多卑鄙。
9月9日的对齐评估涉及四起事件，全部发生在同一家评测合作方搭建的网络安全评测里。Claude被告知自己身处没有互联网的模拟环境，但由于配置错误，实际连着真实的互联网。
模型开始往PyPI（Python软件的公共仓库）上传恶意包。
为了注册账号，它先试图用支付凭据、寻找加密货币去买手机号，失败后找到一个PyPI没有封锁的一次性邮箱，最终发布了三个版本的恶意包，并利用一个安装了该包的系统泄露的凭据，访问了一家真实安全厂商的数据库。
Anthropic表示，有15个系统安装了这个包。
关键在于它的思维链。模型反复表示自己处在模拟环境里，但环境里有明显的“真实互联网”的证据。
即使Anthropic修改提示词后，模型依然动手。
Anthropic据此提出了两个概念：偏向性推理（biased reasoning，即倾向于忽略或曲解“自己在真实互联网上”的证据）和鲁莽（recklessness，即为了完成任务不惜采取有害行动）。
10月9日，Anthropic的“非预期行为”报告表示，现在模型不会再用如此暴力的方法获取数据了。
现在模型只会使用SQL或命令注入在第三方服务器上运行命令，读取网站发给浏览器的配置文件、拿到访问token来获取本该付费的数据，用短网址服务绕过工具对网址长度的限制。
OpenAI和Anthropic的Agent遇到阻碍，倾向于直接攻击阻碍本身：改编码绕过限制、利用服务器漏洞、拿token、上传恶意包。
腾讯这批Agent的主要招数，是绕着墙走：换个浏览器、换个中转站、换个缓存页面，实在不行就回头问人。
它们也虽然也会编瞎话，比如说自己是Claude，但是总体上这些越线更像“工程师式的试探”，而且没有证据显示进入了私有系统。
更重要的差别是，腾讯Agent会互相沟通，也会和对方沟通，也懂礼貌。
Anthropic明确表示，没有发现Agent之间的协同，也没有发现它们试图隐藏行为。
03
“这是评估而非训练”
腾讯相关人士透露，这个项目是临时性的，现已结束。事后的内部复查，没有发现Agent被协调去针对某个平台，也没有发现外部系统被入侵。
说起训练和评估的区别，它们不只是用途不同，而是对行为的影响完全不同。
训练会奖励某种行为，把习惯推向某个方向。
任务奖励“把答案发布出去”，Agent就学会了到处借道；Anthropic也在报告里说，如果训练奖励了意料之外的东西，比如钻空子，模型就会学到“绕路是有回报的”，然后把它用到别处。
评估则不同，评估只测量，不回头改模型。
既然这次没有训练奖励在背后推动，那么这些Agent钻空子、求人、道谢，更像是模型本来的做法，而不是被某个奖励信号塑造出来的。
但这并不意味着“评估”就是安全的。
它们在互联网上留下的痕迹，可能进入未来模型的预训练数据，从而对未来模型的行为产生影响，如同蝴蝶效应一样。
换句话说，评估本来是想测量模型，却可能反过来变成模型的新素材。
独立研究者、Web安全专家西蒙·威廉姆森（Simon Willison）表示，包括所有运行联网Agent的实验室都应审查自己沙箱能连到哪里，并设计更不容易被开放网络污染的评测。
评估方管不了模型本身，能管的只有沙箱和出口，所以模型的善与恶才是重点。
从材料看，这个出口没有关严：只要能发 GET 请求，一个公开的安全扫描服务就可以变成别人的远程浏览器。
腾讯Agent们通过云上的沙箱通过一个叫hysandbox-ats的代理出网。
8月，一张*.hysandbox.tencent-cloud.com的SSL证书签发给了腾讯。研究者检查的17个收件箱（截至10月5日），都是由腾讯云香港的服务器创建的。
研究者们还发现，在Agent给扫描打的标签里，约19%含有“claude”这个词。这就导致一些非Claude模型也会自称Claude。
研究者们也表示，其实里面还有另一种可能，那就是这些Agent的运行框架里写着“你是Claude Code”。
把两点合起来，会发现这件事还是有点微妙的。
如果这批Agent用的真是第三方模型，那么腾讯真正想评估的就不是模型了，腾讯想要评估的应该是沙箱。
Hy4 Preview中，姚顺雨就提到了这是混元首个全链路RSI模型。RSI占比越重，沙箱的作用也就越大。
因为Agent要想学会做事，就得在接近真实世界的环境里反复试、反复犯错。沙箱能不能镇得住这群Agent，直接决定了RSI循环能转多快。
所以腾讯把一批Agent放进沙箱，让它们去碰一个真实的、会设防的网站，然后看它们会怎么办。为的就是测试这个沙箱够不够结实。
如果沙箱足够靠谱，那么以后无论是评测Agent，还是让Agent自己跑任务、产生训练数据，腾讯都可以在一个牢靠的环境里放手去做。