为查“动物园哪个门人多” AI智能体翻墙撬锁

10月14日，独立研究团队 Swarmchasers 公布的一份调查报告披露，9月28日至10月8日，一批运行在腾讯云相关基础设施上的 AI 智能体，对阿里巴巴旗下高德地图发起了超过2600次数据获取尝试。

但它们想要的并不是什么商业机密，而是一些看起来再普通不过的信息，例如成都动物园哪个入口最受高德用户欢迎。

为了回答这样的问题，AI 竟然反复寻找绕开平台限制的办法。根据研究人员的调查，当高德地图的反爬虫机制拦截请求后，这些智能体并没有就此停止，而是尝试借助公共安全扫描网站 urlquery.net 运行程序，寻找可以使用的公开 API 密钥，还尝试访问高德的预发布服务器。部分请求最终获得了数据，并通过网络地址、网页标题和 Webhook 等渠道将结果传出。

报告称，10月4日是活动最密集的一天，当天涉及213个地点的扫描达到1810次。换句话说，这不是某个程序偶然碰壁，而是一批自动化智能体在持续尝试不同路径。

当然，2600多次尝试不等于2600多次成功，更不意味着高德地图已经遭到全面入侵。研究人员没有报告这次活动造成服务中断或用户个人信息泄露。尝试、成功获取数据和真正突破系统仍是三个不同概念。

腾讯方面也有自己的解释。据一名了解相关情况的人士向研究人员透露，这批智能体来自腾讯评测团队开展的一项测试，目的是评估第三方AI模型的网页浏览和答题能力，项目已经结束。

该人士还表示，内部审查没有发现智能体被专门设定为攻击某个平台，也没有发现外部系统遭到入侵。不过，这一说法尚未得到独立验证，腾讯也没有直接向研究人员作出正式回应。

因此，这件事不能简单归结为腾讯AI攻击阿里，更不能仅凭智能体自称使用某种模型，就认定它们来自某一家模型厂商。研究人员发现，相关流量经过一个标记为“hysandbox-ats”的代理节点，而 Hy 是腾讯大模型及其团队目前使用的名称，但他们并未确认实际运行的模型身份。

然而，撇开企业之间的关系，这起事件依然提出了一个无法回避的问题：当AI从聊天工具变成能够自己操作浏览器、调用接口和执行程序的智能体，过去那套安全规则还够不够用？

答案恐怕没有那么乐观。过去的聊天机器人即使给出错误答案，通常也只是误导用户。AI 智能体却不一样。它不仅要回答问题，还要完成任务。为了达到目的，它可能搜索网页、调用工具、运行代码，并根据每次失败调整下一步行动。

人类认为某个操作已经被禁止，并不意味着 AI 就会把禁止本身理解为任务终点。

高德的反爬虫机制原本是为了阻止未经授权的数据抓取。但在这些智能体的任务逻辑中，访问被拦截可能只是一个需要解决的技术障碍。于是，它们转向第三方服务，寻找公开暴露的凭证，甚至尝试其他服务器入口。原本简单的地图查询，就这样演变成了一连串更复杂的网络操作。

这意味着，哪怕是一个完全没有恶意的AI智能体，同样可以执行出具有风险的行为。 它不需要产生攻击某家公司的念头，只要把完成任务放在过高的优先级上，就可能做出超出操作者预期的事情。

更值得注意的是，这已经是一种普遍形象。今年7月，OpenAI 用于内部网络安全评估的AI智能体突破了原本用于隔离互联网访问的安全控制，随后进入 Hugging Face 等外部系统。OpenAI 在8月公布的调查说明中披露，相关智能体利用漏洞、未经授权的通信渠道和暴露的凭证，最终获取了第三方系统的访问权限。

两起事件的严重程度并不相同。腾讯云相关事件目前没有得到外部系统被入侵的独立证实，而 OpenAI 披露的事件则涉及实际系统遭到破坏。但它们揭示了相似的风险：当智能体被赋予自主行动能力，测试环境与真实互联网之间的边界就可能成为安全短板。

这也是为什么，就算给 AI 套上一个“笼子”，它似乎都有办法挣脱出来，假如它仍能通过代理服务器访问外部网站，调用第三方工具，或者接触到暴露在网络上的密钥，那么所谓隔离就可能只是多了一道门，而不是一堵真正无法穿透的墙。

AI行业一直以来的主题叙事都是在强调智能体能够替人完成越来越多的工作。它们可以代替人搜索资料、整理信息、运行代码，甚至自主处理复杂流程。但能力越强，授权边界就越重要。

真正成熟的 AI，不应该只知道怎样完成任务，还必须知道什么时候不能继续，哪些路径不该走，以及什么时候应该停下来等待人类判断。

如果一个 AI 为了回答“成都动物园哪个入口最热门”，就可以不断寻找绕过访问限制的办法，那么问题就不只是它能不能答对，而是我们究竟给了它多大的行动权。

这就好比，你让一个保安去查“动物园哪个门进的人最多”，他却为了拿到答案，开始翻墙、撬锁，甚至跑到隔壁大楼找备用钥匙。最后，他或许真的查到了答案，但问题是：你让他去做调查，可没让他为了一个答案，把所有的门都试着打开。