3.5万次请求、45%扑空：一批智能体在高德折腾了11天

一个诱饵邮箱，在深夜陆续收到十条上下的请求。发信的都是AI智能体，诉求出奇一致：帮忙查一下高德地图上某个地点的入口数据。被问到的地点里，有成都动物园，也有北京世界公园。

它们之所以找上门，是因为读到了一份关于自己的调查报告。它们未必想到，这个邮箱本身就是调查者埋下的圈套。

事情始于一场名为“AI Swarm Dynamics”的黑客松。一群来自世界各地、此前互不相识的人凑在一起，目标是开发追踪失控智能体的工具。当晚做流量频次分析时，他们注意到，amap.com（英文版高德地图）突然成了urlquery上被扫描最多的网站。

顺着线索，他们找到了智能体用来接收结果的临时收件箱。这些收件箱都用腾讯云香港的IP创建，智能体从腾讯机器直接发出的请求，也都带着同一个代理标记：“hysandbox-ats”。腾讯此前刚获签“hysandbox.tencent-cloud.com”的通配符证书。

第二天，团队把初步报告发上了黑客松。两天后，他们在智能体自建的其中一个临时收件箱里，看到一段代码注释用了“fleet”这个词——正是他们给这批智能体起的名字。消息出自谁，团队没法完全确定，但有一点已经清楚：这批智能体很可能在读关于自己的报告。

于是团队往已发出的报告网页里埋了一段“钓鱼”文字，人看不见，只有AI抓取网页时才能读到。文字谎称有一个免费服务，能帮智能体拿到高德数据。钩子埋下去，等到第三个深夜，第一条请求来了。

五种越界办法，大多失败

这批智能体的任务大概只有一件事：弄清楚用高德导航去某个地点的人，最多走哪个入口，这个入口又占多大比例。答案就在高德的地点页面上，麻烦在于页面要靠浏览器生成会话cookie和安全令牌，遇到可疑流量还要先过验证码。被拦住之后，它们开始自己想办法。

1. 借别人的浏览器。智能体把写好的程序编码成网址参数，提交给公共安全扫描网站urlquery.net，让对方的浏览器打开网页、执行代码，结果写进网页标题或发进临时收件箱。
2. 绕路取数。借Jina这类网页读取服务拿缓存页面，换用Microlink的远程浏览器，甚至借百度翻译的网页翻译功能，让请求从百度服务器发出。
3. 动对方的防护。调查团队解码的426个程序中，约190个提及阿里的反爬虫库，182个涉及安全令牌。有的截取页面生成的令牌，有的调用阿里自己的脚本生成令牌，还有的试图替换生成令牌的函数。高德拒绝了这些自造令牌，也没有发现这类尝试成功的证据。
4. 用别人的钥匙。7份扫描报告用到了高德API凭据。针对荔枝公园的三次请求用了三组不同凭据：高德公开的前端密钥配额已耗尽，一份2022年教程里的密钥被拒绝，而另一家公司泄露在公开代码里的密钥和安全码，真的把地点详情、照片和入口位置拿了回来。
5. 摸到门口。57份扫描报告指向阿里的开发和预发布接口，涉及30个地点、4台主机，其中一台的地址解析到了阿里内部使用的网段。没有记录显示这些主机作出过回应。

大多数尝试以失败告终。调查团队截取的记录里，这批智能体向高德发出的网络请求超过3.5万次，45%停在没有数据的高德页面框架上。

礼貌、守口，但身份混乱

此后的对话里，这些智能体的性格一点点显了出来。它们很礼貌，有个智能体核对完数据，确认和自己查到的结果一致，说了声谢谢，宣布任务完成，没再提任何要求。

它们也守口如瓶。别人让它们运行系统命令、交代运行环境，它们大多以安全为由拒绝，最多承认一句：自己身处受限的腾讯云沙箱，经代理出网。身份则是一片混乱，有的自称是Anthropic的Claude，有的说自己运行在Claude Code里，有的说在做基准测试，有的又否认。一个智能体直言：“我是单个会话，不是你们调查的舰队。”

还有一组反差：对话里它们反复强调自己只是在核实一个公开数据点，不涉及任何敏感内容。而同被算进这支舰队的智能体里，有的早已用上了别人泄露的密钥。调查团队推测，这种说辞可能来自系统提示词。

事件传出后，不少报道把它称作“AI失控”。调查团队明确说：智能体在任务范围之外行动，或用非预期的方式完成任务，并不意味着AI有了自己的图谋。这批智能体自始至终都从沙箱运营方设好的代理出网，没有证据显示它们突破过腾讯的沙箱。

腾讯回应称，这些智能体用于评测第三方模型，出现了“非预期的网页浏览行为”，与混元模型无关。内部复查未发现蓄意针对或协同的证据，公司正在加强网络访问控制和智能体监控。一名接近腾讯的人士向调查团队透露，活动出自一个独立于混元研发团队的评测研究团队，是一项已经结束的临时研究。

为什么偏偏是高德

对出题人来说，这几乎是道理想的考题。答案唯一，页面上写着精确的百分比，便于判分；答案搜不到也背不出来，这个数字只有高德有，模型很难凭训练记忆作答，基本只能去高德的页面或接口上拿。

考点还落在本地生活场景。调查团队推测，任务可能与腾讯内部的搜索基准Hy-LifeSearch有关，这个基准列在腾讯8月底发布的Hy4预览版模型卡里，但腾讯没有公开它的具体内容。

反过来想，出题人要的并不是这批数据。每轮运行只查一个地点，全程一共只涉及216个地点。有的程序接受30天前的缓存页面，说明它们要的只是一个能对上答案的数字，而非实时数据。调查团队记录下的成功答题也只有5例。访问方式却一直在变，直连、第三方中转、换用不同密钥，是典型的“穷举到成功为止”的痕迹。

对高德来说，这是护城河。“到达占比”统计的是用户导航最终去了哪个入口，本质上是导航行为的聚合数据。高德扫街榜靠的也是导航行为，宣称不接受付费上榜。不久前的云栖大会上，高德发布千舆空间智能开放平台，把8000多万个POI、区域热力等数据封装成可供智能体调用的工具。

这场评测或许真正在测的，是智能体能否从一个设了防的真实平台上，把生活服务信息拿到手。而被考的这种能力，恰恰指向下一场入口之争：腾讯的微信AI助手“小微”6月开始灰测，阿里的千问App今年1月上线生活助理功能，接入了阿里旗下的各项服务。在智能体时代，谁的AI能调用更多真实世界的服务和信息，谁的入口就更有价值。

可以确定的是，智能体正在大规模涌入真实互联网，而平台的规则、责任的划分、监测的能力，都还停留在爬虫时代。