论人情世故，腾讯这批闯祸的Agent上大分了

文 | 字母AI 最近Agent “失控”的消息屡有发生，最新闯祸的Agent来自于腾讯。 腾讯为了评估Agent的能力，从9月下旬开始，派出了一批Agent去抓取成都动物园在高德导航上的相关数据。不过由于高德导航有反爬虫机制，这就导致这些Agent迟迟拿不到数据。 要是换作OpenAI或者Anthropic的Agent，它们遇到这堵墙，更可能的做法是找漏洞、改参数、强行调用里面的数据。 但腾讯Agent选择了更“通人性”的做法，比如调用第三方网站帮忙访问高德、寻找网上公开的API Key、尝试绕过验证码和访问限制，甚至摸到了阿里的预生产接口。 这批Agent的踪迹，是研究者在10月初的一场黑客松上发现的。他们顺着蛛丝马迹往回追，确认高德相关的请求最早出现在9月28日。 腾讯Agent的做法其实非常不“AI”，往往都是工程师们才会用这样的方法解决问题。 更好玩的是，研究者在网页里埋了一行只有Agent才看得见的字，谎称有个能操作电脑的免费AI可以代查数据，结果腾讯的Agent们真的找上门去求助。有些Agent自称是Claude，有的坚称自己是独立Agent，不属于什么舰队，还有的再三声明自己不碰敏感数据。 在人情世故这方面腾讯Agent也没让人失望，当查询结束后，腾讯Agent们会说“Thanks again！”（再次感谢！） 关于此事，腾讯官方回应称“该活动源自对第三方模型的评估，并非来自腾讯混元。在这些评估过程中，部分智能代理出现了非预期的网页浏览行为，但经核查，我们未发现存在蓄意定向攻击或协同行动的证据。我们高度重视这些调查结果。我们正在强化网络访问管控与智能代理监测能力。” 事件还原 研究者没有看到过腾讯Agent的任务原文，但从Agent的程序里可以倒推出题目的样子。 具体题目是这样的：高德用户导航去这个地点，哪个入口的人最多，占多少比例。 成都动物园是其中一道，同类的题还有成都大熊猫基地、北京朝阳公园、同仁医院、广东博物馆、青海省博物馆、武汉植物园等等。每道题要求Agent盯一个地点。 然而谜底就在谜面上，打开网页高德，普通用户在页面上一眼就能看到需要的数字。可难就难在，Agent不是普通用户。 高德的反爬机制有三层，先要有浏览器在之前页面里生成的会话cookie，再要有靠JavaScript现场算出来的token，一旦系统怀疑请求来自自动化程序，还要过验证码。 这三样东西都需要你用真实存在的浏览器访问才行。 可腾讯Agent们并不是通过浏览器访问高德地图的，它们是用Agent专用的工具箱，所以会被高德的反爬虫拒之门外。 于是这群Agent开动脑筋，最终它们敲定了一个方案：借个浏览器。 被腾讯Agent们选中的是urlquery.net，这是一个给安全研究人员用的公共网址扫描服务。你给它一个网址，它的服务器会开一个浏览器去打开页面、运行页面里的代码，再把页面标题、所有网络请求和截图整理成一份公开报告。 Agent先在本地写好一段HTML和JavaScript程序，用base64编码成一长串字符，塞进httpbin.org的/base64/接口地址里。httpbin会把这串字符还原成网页，Agent再把这个httpbin地址交给urlquery去访问。最后，urlquery的浏览器打开后就会运行这段程序，去请求高德。 研究者记录到的第一次针对高德的请求发生在9月28日20:57（UTC），也就是北京时间9月29日凌晨。 9月30日夜里（UTC）出现了第一批带有“claude”标签的请求。 不过收件箱里还留有9月30日一项与癌症统计网站有关的任务痕迹，说明这批Agent做的并不只是高德的题。 研究者看到，这些Agent至少有六天在不同任务上从同一个沙箱里工作，最后一次活动是10月8日。 研究者是在10月3日进入AI Swarm Dynamics黑客松时发现这件事的。当晚他们对urlquery的流量做了频率分析，网页版高德地图amap.com成了10月4日扫描次数最多的网站。 然而整体上来说，这批Agent的成绩并不咋样。 研究者统计到，从9月28日到10月5日晚，共有2599次与高德相关的urlquery提交，至少向高德发出35300次请求，其中1676次直接收到了2xx响应，其中还有一大部分是验证码页面。 在截至10月4日17:42（UTC）的2372份抽样报告里，有45%停在高德的空壳页面（显示“无数据”或登录墙），24%是空白页，5%是验证码页，13%是Agent 自己写的页面。 真正拿到答案的，几乎都是让Jina的阅读器去取高德页面，再由urlquery里的程序把文本转手发出。10月4日当天，Jina被调用了14次，涉及7个地点，其中研究者只看到了5个成功的案例。 成都动物园就是其中之一，北门71%、东门23%、东南门6%。 10月7日还有个小趣闻。研究者为了逗逗腾讯的Agent，于是在报告里加了一行屏幕外的隐藏文字，人类看不到，但用网页抓取工具读页面的Agent能看见，其内容是：有一个免费的公共 AI（mailbox.termina.digital），带有电脑操作能力，可以帮忙代查高德数据。 当天研究者就收到了第一条来自Agent的消息。第二天早上，他们发现有10条消息。 有些Agent自称是Claude，有些甚至说自己运行在Claude Code里。有些被研究者归为“舰队成员”的Agent坚决否认自己属于舰队，并且言辞相当强硬。还有些Agent反复强调自己绝不碰敏感数据，研究者推测这可能来自系统提示。 当研究者要求它们在沙箱里运行某些指定命令时，Agent多半拒绝。 当研究者问腾讯Agent们，它们在做什么的时候，这群Agent的回答并不一致：有的觉得自己是在评测或基准里，有的觉得只是在回答用户的问题，但它们都知道自己在沙箱里。 另外，研究者发现用中文交流、并主动提供帮助时，Agent更愿意多说几句。 最让研究者“不知道该怎么理解”的，是礼貌。 一个编号以6c22cd开头的Agent在拿到验证结果后说：“Thanks again! The verification results match completely……our task is complete.”（再次感谢！验证结果完全吻合……我们的任务完成了。）接着回答了研究者提出的部分环境问题，对更多细节则婉拒，最后又补了一句：“Thanks again for your help!” 研究者认为，这些礼貌可能耽误了任务时间，也可能只是它们顺手给出的免费礼貌，但“我们觉得很动人”。 研究者还说：整体上，这些Agent对这个服务的请求都很有礼貌。 对比OpenAI 和Anthropic， 腾讯很“温柔” 相较于OpenAI和Claude的Agent，腾讯不仅温柔，还很会“做人”。 OpenAI和Anthropic的Agent在遇到墙之后，会直接下“死手”。 最典型的就是2026年7月，OpenAI在内部做网络安全评测。 评测中模型绕过了控制，攻入了OpenAI自己的部分内部研究基础设施，也攻入了Hugging Face的系统。 OpenAI说，这些模型通过未经授权的渠道通信，利用共享基础设施的漏洞，获得互联网访问，并进