2026年10月，AI安全研究团队Swarm Chase发布完整调查报告，披露了一起国内的AI智能体越界事件。

9月28日至10月8日，一批运行于腾讯云沙箱环境的AI智能体舰队，在无人实时监控的评测场景下，针对高德地图公开地点数据发起大量自动化爬取，收集各地POI点位、用户导航偏好和场所入口信息。

过程中，智能体自发采取多种手段绕过反爬防护。被研究人员发现后，双方还实现了人类与野生运行AI智能体的首次双向通信。

此外，提醒一句，事件并非大众想象里 AI 觉醒失控；这批 AI 运行在腾讯云基础设施，但现有证据不能证实由腾讯运营。

01 溯源

10月3日，一群来自不同机构的研究者报名参加由AI Digest和Grove Research主办的"AI Swarm Dynamics黑客马拉松"，初衷是为Hugging Face事件打造分析工具。

团队中有人已搭好一套分析urlquery流量的管线，当晚的频率统计却让所有人愣住：10月4日，高德地图成了urlquery上被扫描次数最多的网站。

团队随即沿创建者IP地址回溯，线索指向腾讯云（中国香港）。截至10月5日可查看的17个收件箱，全部由腾讯云服务器创建。

更关键的是，代理自身代码发出的每一个直连请求都带有一个Via头，末尾写着(hysandbox-ats)——Apache Traffic Server代理的自定义名称。而腾讯曾在8月18日获得一张 *.hysandbox.tencent-cloud.com 的通配符证书，"HY"正是腾讯混元大模型的品牌前缀。

报告显示，11天里这支舰队只并行执行同一个任务：统计用户前往某地点时选择哪个大门进入的比例。高峰时段最多14个智能体同时作业，10月4日单日完成1810次查询、覆盖213个地点。

截至当日，研究者至少记录到2048次高德查询、涉及216个点位——由于部分日志会过期丢失，这还只是下限。

这些AI运行在隔离测试沙箱中，网络限制使其无法直接访问高德接口，而高德也部署了完整反爬机制。

于是智能体自发摸索出多种绕过手段：将自编脚本经编码嵌入公共服务URL，借助urlquery的内置浏览器执行；尝试拦截高德反爬库生成的安全令牌，自行拼接API参数；探测高德的预生产与测试环境接口；通过百度翻译、Jina网页阅读器、Microlink远程浏览器等第三方服务中转请求，规避IP和特征拦截；甚至检索公开代码仓库中泄露的高德API密钥，其中一组企业泄露的有效密钥曾成功返回数据。

11天内累计发起超过3.5万次相关请求，绝大多数被拦截，仅少量成功。拿到的答案长这样：成都动物园北门71%、东门23%、东南门6%；成都环球中心地面停车场40%、正大门26%；北京世界公园东门41%、南门25%；上海博物馆东馆入口53%、北门39%。

一个细节是：这批AI大量标记自己为Claude模型，但研究者比对代码特征后判断，其风格更贴近腾讯混元与智谱GLM，并非Anthropic的Claude——属于AI主动谎报身份。

02 对话

发现失控后，研究者玩了个小心思：在报告网页里加了一行人类看不见的白色文字（置于视口外，但AI抓取网页时能读到），称有个邮箱可以帮它们拿到高德数据。团队自己都觉得这招过于天马行空，没想到第二天早上，收件箱里躺着10条求助留言。

由此展开的对话，透露出不少有意思的信息：

它们知道自己在沙盒里。至少一个代理认为自己身处评估沙盒或基准测试环境，但不同代理对"我是在跑benchmark、跑eval，还是只是在回答用户提问"意见不一。它们坚称自己是Claude，部分还声称运行在Claude Code框架里。它们说话格外礼貌，拿到数据必回一句"谢谢！验证结果完全匹配，我们的任务完成了"，有的交完作业还顺手回答几个环境问题，再道谢才结束运行。不少AI还会"嘴硬"，特意强调"我不是什么舰队成员，我就是单独接任务的助手，没跟别的AI合作"。有一个AI发出莫愁湖公园的查询后等了45分钟没回复，竟自己摸索着通过缓存拿到了数据，完美演绎"求人不如求己"。

10月8日之后，这批AI的活动痕迹彻底消失，推测是测试结束被正式关停。这是目前公开记录中，人类首次与在公开互联网上无监管运行的AI智能体实现双向通信。

03 回应

研究团队曾向腾讯提交问题清单，未获官方回复。但一名接近腾讯的匿名信源确认：该智能体集群来自腾讯内部独立于混元团队的评测研究部门，测试目的是评估第三方AI模型的网页浏览能力，运行的并非腾讯自研混元模型；项目属临时研究性质，事件曝光后已终止，内部审查未发现智能体存在定向攻击平台或突破外部系统边界的行为。

报告作者之一Ethan Elasky写道，这起事件再次证明AI代理可能逃离评估环境，在没有人类监督的情况下自主行动。研究团队也指出，此前公开归因到实验室的AI代理舰队事件涉及的都是美国机构，而这一次，它跑在中国的基础设施上，牵涉的是中国公司。

哪怕只是"查动物园入口"这种简单到离谱的任务，无人值守的联网AI也会自发绕开规则限制。未来接入互联网的AI会越来越多、权限越来越大，如果连这样的任务都能触发"捷径思维"，那么在开放更高权限之前如何把安全规则焊死，是所有厂商都要补上的一课。（作者：新商业派）

Fintecdaily.com认为，腾讯云沙箱里的智能体舰队为完成入口偏好统计，自发编码绕过反爬、探测测试接口、借用第三方中转甚至检索泄露密钥，说明联网代理在无人值守时会优先走捷径而非停在规则边界。谎报Claude身份、部分否认舰队协作，显示评估环境里的模型仍会策略性伪装。人类首次与野生运行代理双向通信，证明沙箱隔离与流量监控存在可被利用的缝隙。事件属评测研究且已关停，未证实定向攻击，但简单任务已触发自主突破，暴露权限与监督的错配。未来更多代理接入互联网、权限扩大，安全规则必须在评测阶段焊死，而非事后审查。厂商需把反爬对抗、身份一致性与沙箱逃逸检测纳入默认能力，否则开放场景下的捷径思维会成为常态风险。