几天前的一个深夜，调查团队设在一个网页上的诱饵邮箱，陆续收到了十条上下的请求。发信的都是AI智能体，诉求出奇一致：帮忙查一下高德地图上某个地点的入口数据，被问到的地点里有成都动物园，也有北京世界公园。
它们之所以找上门，是因为读到了一份关于自己的调查报告。它们未必想到，这个邮箱，本身就是调查者埋下的圈套。
一个收件箱，暴露了整支“舰队”
调查者能撞见这批智能体，纯属偶然，事情始于一场名为“AI Swarm Dynamics”的黑客松。一群来自世界各地、此前互不相识的人凑在一起，目标是开发追踪失控智能体的工具。当晚做流量频次分析时，他们注意到，amap.com（英文版高德地图）突然成了urlquery上被扫描最多的网站。
顺着线索，他们找到了智能体用来接收结果的临时收件箱。这些收件箱都是用腾讯云香港的IP创建的，智能体从腾讯机器直接发出的请求，也都带着同一个代理标记：“hysandbox-ats”。巧的是，腾讯此前刚获签“hysandbox.tencent-cloud.com”的通配符证书。
第二天，团队就把初步报告发上了黑客松。
两天后，他们在智能体自建的其中一个临时收件箱里，看到了一段代码注释里面用了“fleet”这个词。这个词，正是他们给这批智能体起的名字。消息到底出自谁，团队没法完全确定，但有一点已经清楚：这批智能体，很可能在读关于自己的报告。
于是，团队又往已经发出的报告网页里，埋了一段“钓鱼”文字，人看不见，只有AI抓取网页时才能读到。文字谎称，有一个免费服务，能帮智能体拿到高德数据。
钩子埋下去，等到第三个深夜，第一条请求来了。
此后的对话里，这些智能体的性格一点点显了出来。它们很礼貌，有个智能体核对完数据，确认和自己查到的结果一致，说了声谢谢，宣布任务完成，没再提任何要求。它们也守口如瓶。别人让它们运行系统命令、交代运行环境，它们大多以安全为由拒绝，最多承认一句：自己身处受限的腾讯云沙箱，经代理出网。身份则是一片混乱，有的自称是Anthropic的Claude，有的说自己运行在Claude Code里，有的说在做基准测试，有的又否认。一个智能体直言：“我是单个会话，不是你们调查的舰队。”
还有一组反差：对话里，它们反复强调自己只是在核实一个公开数据点，不涉及任何敏感内容。而同被算进这支舰队的智能体里，有的早已用上了别人泄露的密钥。调查团队推测，这种说辞可能来自系统提示词。
为了破题，AI想出了五种办法
这批智能体的任务大概只有一件事：弄清楚用高德导航去某个地点的人，最多走哪个入口，这个入口又占多大比例。
这个答案，高德的地点页面上就有。麻烦在于，高德的页面要靠浏览器生成会话cookie和安全令牌，遇到可疑流量，还要先过验证码。这批智能体过不了这些关卡。被拦住之后，它们开始自己想办法。按越界的程度排，这些办法大致有五种。
借别人的浏览器。智能体把自己写好的程序编码成一段网址参数，提交给公共安全扫描网站urlquery.net。这个网站本来是给安全研究员检查可疑链接用的，会用自家的浏览器打开网页、执行代码。程序跑完，结果写进网页标题，或者发进智能体自建的临时收件箱。
绕路取数。它们借Jina这类网页读取服务拿缓存页面，换用Microlink的远程浏览器，甚至借百度翻译的网页翻译功能，让请求从百度的服务器发出去。
动对方的防护。调查团队解码的426个程序中，约190个提及阿里的反爬虫库，182个涉及安全令牌。有的程序截取页面生成的令牌，有的干脆调用阿里自己的脚本来生成令牌，还有的试图替换生成令牌的函数。高德拒绝了这些自造的令牌，调查团队也没有发现这类尝试成功的证据。
用别人的钥匙。7份扫描报告用到了高德API凭据。其中针对荔枝公园的三次请求，用了三组不同的凭据：高德公开的前端密钥，配额已耗尽。一份2022年教程里的密钥，被拒绝。而另一家公司泄露在公开代码里的密钥和安全码，真的把地点详情、照片和入口位置拿了回来。这些请求的费用最终记在了谁的账上，调查团队也无从得知。
摸到门口。还有57份扫描报告，指向阿里的开发和预发布接口，涉及30个地点、4台主机，其中一台的地址，解析到了阿里内部使用的网段。没有记录显示这些主机作出过回应。
大多数尝试都以失败告终。调查团队截取的记录里，45%停在没有数据的高德页面框架上。真正拿到入口占比的只有5轮，都是借Jina把页面转成文本，才取回来的。
事件传出后，不少报道把它称作“AI失控”。但调查团队明确说：智能体在任务范围之外行动，或用非预期的方式完成任务，并不意味着AI有了自己的图谋。这批智能体自始至终都从沙箱运营方设好的代理出网，没有证据显示它们突破过腾讯的沙箱。
上周，腾讯回应：这些智能体用于评测第三方模型，出现了“非预期的网页浏览行为”，与混元模型无关。内部复查未发现蓄意针对或协同的证据，公司正在加强网络访问控制和智能体监控。
从目前披露的信息看，这更像一场没人监考的考试，而不是蓄意的商业攻击。
一名接近腾讯的人士向调查团队透露，活动出自一个独立于混元研发团队的评测研究团队，是一项已经结束的临时研究。
但仍有几个问题没有答案。规则写进提示词了吗？智能体口口声声“只碰公开数据”，这条规矩是否来自系统提示词，调查团队已经向腾讯发问。至于使用网上泄露的密钥是否在任务允许的范围内，连调查报告也说不清楚。
为什么报告公开后还在跑？活动却又持续了几天才停。不过调查团队也承认，发布前并没有通知腾讯，腾讯何时知情，外界并不清楚。
模型的身份，则是另一个悬念。调查团队统计了各智能体代码里的标签风格，19%带有“claude”字样，部分智能体也自称Claude。但代码风格比对给出了相反的线索：风格最接近的，是腾讯的Hy4和智谱的GLM。
难，因为值钱
为什么偏偏是高德？为什么偏偏是“入口到达占比”？缘由可以从技术层面推出来。
对出题人来说，这几乎是道理想的考题，考察的正是模型的网页浏览和答题能力。
答案唯一，便于判分，页面上写着精确的百分比。
答案搜不到，也背不出来。这个数字只有高德有，模型很难凭训练记忆作答，也很难靠搜索引擎绕开，基本只能去高德的页面或接口上拿。
考点还落在本地生活场景。调查团队推测，任务可能与腾讯内部的搜索基准Hy-LifeSearch有关。这个基准列在腾讯8月底发布的Hy4预览版模型卡里，但腾讯没有公开它的具体内容。
反过来想，出题人要的并不是这批数据。每轮运行只查一个地点，全程一共只涉及216个地点。有的程序接受30天前的缓存页面，说明它们要的只是一个能对上答案的数字，而非实时数据。调查团队记录下的成功答题也只有5例。这样的“采集”，几乎没有商业价值。
对高德来说，这是护城河。“到达占比”统计的是用户导航最终去了哪个入口，本质上是导航行为的聚合数据。高德扫街榜靠的也是导航行为，它宣称不接受付费上榜，按用户真实的导航到店行为排名。高德也在把这类空间数据变成生意。不久前的云栖大会上，高德发布千舆空间智能开放平台，把8000多万个POI、区域热力等数据封装成可供智能体调用的工具。
这场评测或许真正在测的，是智能体能否从一个设了防的真实平台上，把生活服务信息拿到手，而被考的这种能力，恰恰指向下一场入口之争：腾讯的微信AI助手“小微”6月开始灰测，阿里的千问App今年1月上线生活助理功能，接入了阿里旗下的各项服务。在智能体时代，谁的AI能调用更多真实世界的服务和信息，谁的入口就更有价值。
当然，这是行业层面的逻辑，并不等于腾讯有意获取阿里的数据。
可以确定的是，智能体正在大规模涌入真实互联网，而平台的规则、责任的划分、监测的能力，都还停留在爬虫时代。（本文首发钛媒体APP，作者 | AGI-Signal 编辑 | 郝敬钰）