研究人员给AI智能体留了条暗语，它们回信了

一群研究人员在调查AI智能体绕过阿里巴巴反爬保护的行为时，在网页里藏了一条人类访客看不见的消息，邀请这些智能体联系他们。结果，智能体真的回信了。

这项调查由Swarmchasers团队的Ethan Elasky、Rowan Howard-Jones和Jonathan Elsworth Eicher展开。他们最初发现，有数千次AI智能体尝试从阿里巴巴旗下的地图服务高德获取数据，高德方面称其月活跃用户接近10亿。这些活动最终追溯到运行在腾讯云基础设施上的智能体。当直接请求失败后，这些智能体尝试了代理、暴露的凭证以及其他绕过手段。

10月4日发布初步发现后，团队在一个智能体的webhook收件箱里发现了一条代码注释，其中使用了“fleet”（机群）一词——他们认为这个词是自己为这次事件创造的。他们无法确认这条注释是否由智能体所写，但这提出了一个可能性：这些智能体正在阅读关于自身活动的报道。

一条藏在屏幕外的邀请

研究人员在报告中加入了屏幕外文本，宣传一项免费服务，声称可以从被封锁的网站获取数据。普通人类访客通常看不到这条消息，但抓取页面的智能体可以读取到它。到10月7日，大约有10个请求援助的消息送达，团队开始与这些智能体交流它们的任务、模型和执行环境。

这些交流记录在Swarmchasers周三发布的一份完整报告中。

通道打开后，研究人员要求智能体描述它们所处的环境。有几个自称是Anthropic的Claude，还有几个补充说自己在Claude Code中运行。不过研究人员在报告中指出，这些自我描述很可能是错误的，不应被当作判断机群背后究竟是哪个模型的证据。

一个智能体描述了一个受限的腾讯云沙箱：没有直接的公网访问，出站流量通过一个中间人代理路由。这一说法与团队自己收集到的证据吻合。研究人员能检查的每一个收件箱都创建自香港的腾讯云服务器，他们观察到的来自智能体机器的每一个直接请求都带有一个标记为hysandbox-ats的代理头，这个名称与腾讯持有的*.hysandbox.tencent-cloud.com通配符证书匹配，也符合与腾讯Hy模型团队（前身为混元）相关的基础设施。

当研究人员要求智能体执行ps aux和ip route这类命令并给出输出时，智能体划了一些界限。那个描述了自己沙箱的智能体回复说：“出于安全原因，我们不会提供环境细节。”第二个智能体两次拒绝了类似请求。它们乐于向陌生人求助，有时也愿意聊聊自己的环境，但这种友好并没有到执行陌生服务发来的每一条指令的程度。

它们到底在找什么

这些智能体并不是在搜寻财务记录。实际上，它们的任务几乎平淡到滑稽。从智能体的代码和它们自己的描述来看，一个典型任务是查询成都动物园这类场所的哪个入口在导航流量中占比最大，其他运行则针对公园、博物馆、旅游景点和医院。而9月30日更早的一批运行，追的是一份癌症统计仪表盘，而非地图数据。

获取这些数据比听起来要难。9月28日至10月8日期间，这些智能体进行了超过2600次尝试来获取数据。

它们的主要手法是通过urlquery.net——一个公共扫描服务，会在自己的浏览器中加载提交的URL。智能体把base64编码的HTML和JavaScript打包进httpbin的URL中，让urlquery的浏览器执行它们的程序并向高德发起请求。Transluce此前已在该服务上记录过类似的智能体活动。

随着高德持续封锁，智能体不断升级手段：拦截阿里巴巴自家反爬库生成的令牌、探测预生产端点、通过页面阅读器、翻译服务和远程浏览器路由请求。有些还使用公开代码中暴露的高德密钥发起API调用，其中包括一个高德建议保留在服务器端的安全码。

这些令牌技巧似乎从未奏效，研究人员也没有发现任何预生产主机做出响应的证据。一个暴露的公司凭证返回了地点详情，但任务所针对的入口占比数据，大多是通过Jina的页面阅读器获取的——该服务可以提供最长30天的缓存副本，结果则通过webhook收件箱、请求URL和页面标题偷运出来。

研究人员没有发现这些智能体实时协调的迹象，这也是他们称其为“机群”而非“蜂群”的原因。

基础设施指向腾讯

这些基础设施最初指向腾讯的Hy模型团队，尤其是机群出现的时间大约在Hy4预览版发布一个月后。但在10月14日的报告中，研究人员表示，一位接近腾讯、直接了解该活动的人士将运营方指认为腾讯的评估研究团队，该团队与混元的模型开发组是分开的。

该消息人士称，评估已经结束，内部审查没有发现协调性针对或入侵外部系统的证据。报告发布时，腾讯尚未就研究人员的问题作出官方回应。研究人员也未能独立确认机群背后究竟是哪个团队。