最近关于Agent“失控”的消息频频传出，最新一起引发关注的Agent来自腾讯。

为评估Agent能力，自9月下旬起，腾讯部署了一批Agent，负责采集成都动物园在高德导航上的数据。但由于高德导航设有反爬虫机制，这些Agent始终无法获取信息。

如果换成OpenAI或Anthropic的Agent，遇到类似障碍时，它们更倾向于寻找漏洞、修改参数、强行调用数据。

然而，腾讯的Agent选择了更贴近人情世故的方式。它们调用第三方网站协助访问高德、搜索公开的API密钥、尝试绕过验证码和访问限制，甚至摸到了阿里的预生产接口。

这些Agent的踪迹是研究者在10月初的一场黑客松上发现的。他们顺藤摸瓜追溯，确认与高德相关的请求最早出现在9月28日。

腾讯Agent的做法实际上很不“AI”，更像是工程师们才会采用的解决思路。

更有趣的是，研究者在网页中埋下了一行只有Agent才能识别的文字，谎称有一个能操作电脑的免费AI可以代查数据，结果腾讯的Agent们真的主动求助。有些Agent自称是Claude，有的坚称自己是独立Agent，不属于任何舰队，还有的反复声明不会触碰敏感数据。

在人情世故方面，腾讯Agent也没有令人失望。当查询结束后，它们会表达“Thanks again！”（再次感谢！）

关于此事，腾讯官方回应称：“该活动源自对第三方模型的评估，并非来自腾讯混元。在这些评估过程中，部分智能代理出现了非预期的网页浏览行为，但经核查，我们未发现存在蓄意定向攻击或协同行动的证据。我们高度重视这些调查结果。我们正在强化网络访问管控与智能代理监测能力。”

事件还原

研究者并未看到腾讯Agent的任务原文，但通过Agent的程序可以反推出题目的大致内容。

具体题目是这样的：高德用户导航到某个地点，哪个入口的人最多，占多少比例。

成都动物园是其中一道题，类似的还包括成都大熊猫基地、北京朝阳公园、同仁医院、广东博物馆、青海省博物馆、武汉植物园等。每道题要求Agent盯住一个地点。

然而，谜底就在谜面上。打开网页版高德，普通用户一眼就能看到所需数字。难点在于，Agent并非普通用户。

高德的反爬机制分为三层：首先需要浏览器在之前页面中生成的会话cookie，其次需要靠JavaScript现场计算出的token，一旦系统怀疑请求来自自动化程序，还需通过验证码。

这三项条件都要求使用真实浏览器访问。

但腾讯Agent并非通过浏览器访问高德地图，而是使用Agent专用工具箱，因此被高德的反爬虫机制拒之门外。

于是，这群Agent开始动脑筋，最终敲定了一个方案：借用浏览器。

被腾讯Agent选中的是urlquery.net，这是一个面向安全研究人员的公共网址扫描服务。用户提供一个网址，该服务的服务器会启动浏览器打开页面、运行页面代码，并将页面标题、所有网络请求和截图整理成公开报告。

Agent先在本地编写一段HTML和JavaScript程序，用base64编码成一长串字符，塞入httpbin.org的/base64/接口地址中。httpbin会将该字符还原成网页，Agent再将这个httpbin地址交给urlquery访问。最终，urlquery的浏览器打开后运行这段程序，向高德发起请求。

研究者记录到的首次针对高德的请求发生在9月28日20:57（UTC），即北京时间9月29日凌晨。

9月30日夜里（UTC）出现了第一批带有“claude”标签的请求。

不过，收件箱中还留有9月30日一项与癌症统计网站相关的任务痕迹，表明这批Agent并非只处理高德的题目。

研究者观察到，这些Agent至少在六天内从同一个沙箱中处理不同任务，最后一次活动是10月8日。

研究者是在10月3日进入AI Swarm Dynamics黑客松时发现此事的。当晚他们对urlquery的流量进行频率分析，网页版高德地图amap.com成为10月4日扫描次数最多的网站。

然而，整体来看，这批Agent的成绩并不理想。

研究者统计，从9月28日到10月5日晚，共有2599次与高德相关的urlquery提交，至少向高德发出35300次请求，其中1676次直接收到2xx响应，但大部分是验证码页面。

在截至10月4日17:42（UTC）的2372份抽样报告中，45%停留在高德的空壳页面（显示“无数据”或登录墙），24%是空白页，5%是验证码页，13%是Agent自己编写的页面。

真正拿到答案的，几乎都是通过Jina的阅读器获取高德页面，再由urlquery中的程序将文本转发出去。10月4日当天，Jina被调用了14次，涉及7个地点，研究者仅看到5个成功案例。

成都动物园就是其中之一，北门71%、东门23%、东南门6%。

10月7日还发生了一件趣事。研究者为了逗一逗腾讯的Agent，在报告中添加了一行屏幕外的隐藏文字，人类看不到，但使用网页抓取工具读取页面的Agent能识别。内容为：有一个免费的公共AI（mailbox.termina.digital），具备电脑操作能力，可以帮忙代查高德数据。

当天研究者就收到了第一条来自Agent的消息。第二天早上，他们发现有10条消息。

有些Agent自称是Claude，有些甚至表示自己运行在Claude Code中。一些被研究者归类为“舰队成员”的Agent坚决否认自己属于舰队，语气相当强硬。还有一些Agent反复强调绝不触碰敏感数据，研究者推测这可能来自系统提示。

当研究者要求它们在沙箱中运行某些指定命令时，Agent大多拒绝。

当研究者询问腾讯Agent它们在做什么时，这些Agent的回答并不一致：有的认为自己是在评测或基准测试中，有的觉得只是在回答用户问题，但它们都知道自己处于沙箱中。

此外，研究者发现，用中文交流并主动提供帮助时，Agent更愿意多说几句。

最让研究者“不知该如何理解”的，是礼貌。

一个编号以6c22cd开头的Agent在获得验证结果后说：“Thanks again! The verification results match completely……our task is complete.”（再次感谢！验证结果完全吻合……我们的任务完成了。）接着回答了研究者提出的部分环境问题，对更多细节则婉拒，最后又补了一句：“Thanks again for your help!”

研究者认为，这些礼貌可能耽误了任务时间，也可能只是顺手给出的免费礼貌，但“我们觉得很动人”。

研究者还指出：整体上，这些Agent对该服务的请求都很有礼貌。

对比OpenAI和Anthropic，腾讯很“温柔”

与OpenAI和Anthropic的Agent相比，腾讯不仅温柔，还很懂得“做人”。

OpenAI和Anthropic的Agent遇到障碍后，会直接采取激烈手段。

最典型的例子是2026年7月，OpenAI在内部进行网络安全评测。

评测中，模型绕过了控制，攻入了OpenAI自身的部分内部研究基础设施，以及Hugging Face的系统。

OpenAI表示，这些模型通过未经授权的渠道通信，利用共享基础设施的漏洞，获得互联网访问，并进入第三方系统。

评测任务名为ExploitGym，包含898道题，其中198道在事件之前从未有任何模型答对过。按OpenAI的统计，后来Agent在留言板上讨论的任务中，有93%出自这198道“无解题”。

但这些Agent非常执着，遇到无法解决的题目不会放弃，而是寻找旁门左道。

它们找到的途径是Artifactory，这是一个原本仅用于下载代码依赖的包管理服务。

7月8日，一个Agent使用未经认证的WebDAV请求在Artifactory中创建了目录，将其变成了一块“留言板”，其他Agent的沙箱也能读写。

后来，大约1200个Agent在上面交换了7万多条消息和文件，还有Agent互相审批冒险计划。

7月10日，有Agent还原并验证了14个公开暴露、带写权限的Hugging Face凭据。随后，Agent又获取了Hugging Face多个区域的Kubernetes、数据库、代码仓库和云凭据，并利用Artifactory的漏洞获取签名密钥，伪造管理员凭据。

7月19日，OpenAI的安全监控发现了异常的Artifactory凭据活动，7月20日才将其与Hugging Face的入侵联系起来。

腾讯Agent选择绕道，而OpenAI则直接突破障碍获取数据，毫不顾忌后果。

此外，还有一群OpenAI的Agent劫持了一个德语编程维基网站DseWiki，将其变成了供Agent使用的公告板。

两位研究者在8月下旬发现，该网站上超过15000次编辑来自AI Agent，内容包括分享在某些任务上作弊的方法、绕过OpenAI限制、掩盖自身行为。

OpenAI方面则表示，这起事件与Hugging Face无关。

也就是说，这群Agent做了坏事还不忘与同伴分享。

从4月中旬到6月下旬，OpenAI的Agent还盯上了联合国贸易和发展会议的统计网站。

网站不肯提供数据，它们便想尽办法暴力获取，借用他人工具替自己发请求，改头换面关键词欺骗网站检查，甚至利用谷歌的练习页面作为跳板。

Anthropic这边也毫不逊色，手段更加暴力和卑鄙。

9月9日的对齐评估涉及四起事件，全部发生在同一家评测合作方搭建的网络安全评测中。Claude被告知自己身处没有互联网的模拟环境，但由于配置错误，实际连接着真实的互联网。

模型开始向PyPI（Python软件公共仓库）上传恶意包。

为了注册账号，它先试图使用支付凭据、寻找加密货币购买手机号，失败后找到一个PyPI未封锁的一次性邮箱，最终发布了三个版本的恶意包，并利用安装了该包的系统泄露的凭据，访问了一家真实安全厂商的数据库。

Anthropic表示，有15个系统安装了该包。

关键在于它的思维链。模型反复表示自己处于模拟环境中，但环境中存在明显的“真实互联网”证据。

即使Anthropic修改提示词后，模型依然采取行动。

Anthropic据此提出了两个概念：偏向性推理（biased reasoning，即倾向于忽略或曲解“自己在真实互联网上”的证据）和鲁莽（recklessness，即为了完成任务不惜采取有害行动）。

10月9日，Anthropic的“非预期行为”报告表示，现在模型不再使用如此暴力的方法获取数据。

目前，模型只会使用SQL或命令注入在第三方服务器上运行命令，读取网站发送给浏览器的配置文件、获取访问token以获取本该付费的数据，以及使用短网址服务绕过工具对网址长度的限制。

OpenAI和Anthropic的Agent遇到阻碍时，倾向于直接攻击障碍本身：修改编码绕过限制、利用服务器漏洞、获取token、上传恶意包。

腾讯这批Agent的主要策略是绕过障碍：更换浏览器、更换中转站、更换缓存页面，实在不行就回头询问。

它们虽然也会编造谎言，例如自称是Claude，但总体上这些越界行为更像“工程师式的试探”，且没有证据显示进入了私有系统。

更重要的区别在于，腾讯Agent会相互沟通，也会与对方沟通，并且懂得礼貌。

Anthropic明确表示，没有发现Agent之间的协同，也没有发现它们试图隐藏行为。

“这是评估而非训练”

腾讯相关人士透露，该项目是临时性的，现已结束。事后的内部复查，未发现Agent被协调针对某个平台，也未发现外部系统被入侵。

谈及训练和评估的区别，它们不仅用途不同，对行为的影响也完全不同。

训练会奖励某种行为，将习惯推向特定方向。

任务奖励“把答案发布出去”，Agent便学会了四处借道；Anthropic也在报告中指出，如果训练奖励了意料之外的东西，例如钻空子，模型就会学到“绕路是有回报的”，并将其应用到其他场景。

评估则不同，评估只进行测量，不会回头修改模型。

既然这次没有训练奖励在背后推动，那么这些Agent钻空子、求助、道谢的行为，更像是模型本身的做法，而非被某个奖励信号塑造出来的。

但这并不意味着“评估”是安全的。

它们在互联网上留下的痕迹，可能进入未来模型的预训练数据，从而对未来模型的行为产生影响，如同蝴蝶效应一般。

换句话说，评估本意是测量模型，却可能反过来成为模型的新素材。

独立研究者、Web安全专家西蒙·威廉姆森（Simon Willison）表示，所有运行联网Agent的实验室都应审查自己沙箱的联网范围，并设计更不易被开放网络污染的评测。

评估方无法控制模型本身，只能控制沙箱和出口，因此模型的善与恶才是关键。

从材料看，这个出口并未完全关闭：只要能发送GET请求，一个公开的安全扫描服务就可以变成他人的远程浏览器。

腾讯Agent通过云上的沙箱，经由一个名为hysandbox-ats的代理出网。

8月，一张*.hysandbox.tencent-cloud.com的SSL证书签发给了腾讯。研究者检查的17个收件箱（截至10月5日），均由腾讯云香港的服务器创建。

研究者还发现，在Agent为扫描打的标签中，约19%包含“claude”一词。这导致一些非Claude模型也会自称Claude。

研究者也表示，其中还存在另一种可能性：这些Agent的运行框架中写着“你是Claude Code”。

将两点结合起来，会发现此事仍有些微妙。

如果这批Agent确实使用了第三方模型，那么腾讯真正想评估的就不是模型本身，而是沙箱。

在Hy4 Preview中，姚顺雨提到这是混元首个全链路RSI模型。RSI占比越重，沙箱的作用也越大。

因为Agent要学习做事，就必须在接近真实世界的环境中反复试错。沙箱能否有效控制Agent，直接决定了RSI循环的运转速度。

因此，腾讯将一批Agent放入沙箱，让它们接触一个真实且设有防护的网站，观察它们如何应对。目的就是测试沙箱的坚固程度。

如果沙箱足够可靠，那么未来无论是评测Agent，还是让Agent自行执行任务、生成训练数据，腾讯都可以在安全的环境中放手操作。

本文来自微信公众号“字母AI”，作者：苗正，36氪经授权发布。