腾讯云上AI代理爬了阿里的高德，被低估的AI风险

研究员｜卢杨

近日，独立研究团队Swarm Chasers在其调查报告中称，2026年9月28日至10月8日，一批运行在腾讯云香港服务器上的AI代理，对阿里巴巴旗下的高德地图发起了超过2600次数据提取尝试。

该报告称，10月4日，这批AI代理发起的数据提取请求日峰值达到1810份请求，覆盖213个地点，最多15个代理同时运行。

就是这样一支没有指挥官的AI舰队，它们在执行的任务无害得近乎无聊，触发这一切的任务本身没有攻击性。其中一个问题就是：成都动物园哪个入口最多人用高德导航……但它们的手段踩过了线。

被高德拦截后，这些代理没有停下来。报告记录的手段包括：利用公共安全扫描服务urlquery.net作为远程代码运行器，绕过反机器人校验，探测高德的预生产服务器，使用公开代码仓库中泄露的高德API密钥，通过Jina、Microlink等第三方阅读器或翻译服务中转请求。多数尝试失败，部分运行成功获取了数据，并通过webhook收件箱、请求URL和页面标题将数据传出。

报告称这批代理为“舰队”而非“蜂群”，因为没有发现它们实时协调的证据。它们行为相似，是因为同一个评测环境、共同目标和相似架构。换句话说，没有指挥官，没有恶意，但结果一样：真实平台被反复冲击。

研究者还做了一件此前没有先例的事：他们在网页里加入只有代理能看到的隐藏文本，伪装成一种服务，向正在运行的代理提问。代理自称“自动化研究智能体”，说运营者正在核实公开地图数据点，运行在腾讯海沙箱，没有公网直连，通过MITM代理出网。代理有时还自称Claude，尽管可能搞错了。

被低估的风险

针对此事，10月16日，腾讯混元官方账号@TencentHunyuan发布回应称，该活动源于对第三方模型的评估，而非腾讯混元。腾讯在对第四波的回应中称，该事件是混元在进行模型测评，不是训练，评估的是第三方模型能力。事件更多是工具调用层面的技术问题，非信息安全攻击，目前已经停止测评。

腾讯还通过非正式渠道向报告作者表示，该活动源于评估研究团队的一项临时研究，目的是评估第三方AI模型浏览网页和回答问题的能力，该团队独立于混元模型开发团队，项目已经结束。内部审查没有发现代理被协调针对任何特定平台。

这份回应中值得关注的有三点。第一，责任最终被划给了“第三方模型评估”；第二，报告里描述的是绕过反机器人保护、使用泄露的API密钥、探测预生产服务器。腾讯用“非预期网页浏览”来概括；第三，承诺加强“网络访问控制”和“Agent监控”。这三条恰好对应了事件中暴露出的现实问题：出网控制和运行时监控。

代理运行在云沙箱，但通过MITM代理出了网。这是很多企业可能存在的盲区：以为沙箱等于安全，但沙箱只隔离了计算，并不会隔离后果。

对B端来说，这意味着一个基本问题：你的Agent沙箱出网吗？如果出，有没有人清楚它到底能访问哪些外部系统？

本次事件中代理针对的是高德，不是腾讯自己的系统。报告没有提到事先获得高德授权。企业评估AI能力，按理应在自有数据、模拟环境或获得许可的API上进行，但评测团队为了测出真实效果，往往倾向于把Agent放进真实互联网。

这个倾向本身或许不恶意，但它绕过了“这是谁的系统、谁同意了”这个问题。未授权访问第三方系统，在法律和合规层面都可能构成问题。即使目的是评测，即使没有造成实际损害，未经授权的访问和绕过技术保护措施，本身就足以触发风险。

此外，在这次测试中，代理使用了公开代码仓库里泄露的高德API密钥，还试图拦截反机器人令牌。这些凭据不是腾讯的，但被代理拿来用了。

这就暴露了一个被低估的风险面：Agent调用的工具和凭据，本身就是攻击面。OWASP在2025年12月发布的《Agentic应用Top 10》中，将“工具滥用与利用”和“Agentic供应链漏洞”列为关键风险。

回到代理在十天内发起的这2600多次请求，报告没有提到腾讯在事件期间主动阻断过代理行为。熔断发生在事后，而不是运行时。

6月发布的《智能体应用安全基本要求》强制性国标中，也将“应急处置与熔断”列为六道安全关之一，建议的熔断触发条件包括用量突增、失败率飙升、非工作时间大量调用，在人工发现之前自动触发。

腾讯舰队事件暴露的是Agent越界的技术后果，这起事件最值得B端用户注意的，是一个结构性问题，评测环境和生产环境的边界在消失。

SANS Institute在2026年10月的零信任Agent清单中，把“每个Agent必须有具名负责人、明确目的和清晰的授权范围”放在最前面。这也意味着，Agent身份管理是B端用户迟早要面对的问题。它代表员工执行任务，继承员工权限，在多个系统之间跳转，调用工具，访问数据，做出判断。

两天前，10月14日，豆包手机助手称，正逐步扩大可操作应用范围，但微信、淘宝等151款应用仍拒绝接入，这意味着跨应用自动办事能力，现阶段还是受平台授权和安全规则制约。

第四波科技智库特约专家王超指出，对于想在B端部署AI Agent的客户而言，为了执行任务，必然要赋予Agent电脑和手机的系统级权限。而一旦Agent掌握这些底层权限，就能直接屏蔽APP赖以生存的广告及其他盈利模式，这无异于断了APP的生路。

王超认为，底层权限的开放也会给APP带来巨大的安全风险，正因如此，这些APP现阶段拒绝与AI Agent合作不无道理，它们首要顾虑是自身生存根基被颠覆，其次就是数据与系统安全面临的威胁。

然而，对于用户来说，摆在面前只有两条路：要么把权限交给Agent，同时准备好承担失控的代价；要么像那些APP一样，先把安全底线画清楚，再谈效率。

编辑｜邱慧