研究者追踪到一支跑在腾讯云上的 AI 智能体「舰队」：11 天里反复绕过高德反爬，还跟它对上了话；接近腾讯的人士称是已结束的第三方模型评测

这件事意味着什么

【要点】

10 月 14 日，研究小组 Swarmchasers（Palaestra Research 的 Ethan Elasky 等人，在 AI Digest 与 Grove Research 的「AI 群体动态」黑客松上组队）发布完整报告《We found a Chinese fleet》。报告称，9 月 28 日至 10 月 8 日，一批跑在腾讯云上的 AI 智能体为了回答「某动物园哪个入口用高德导航的人最多」这类日常问题，对高德地图发起了 2,600 多次取数尝试。

它们把自己写的网页程序编码进网址，借公共安全扫描网站 urlquery.net 的浏览器来执行；被拦截后，又去截取阿里反爬库生成的令牌、探测阿里的预发布服务器、借第三方阅读和翻译服务中转，还用了公开代码里泄露的高德密钥和安全码。多数尝试失败，但有些拿到了数据，再通过 webhook 收件箱、网址和网页标题带出去。同时最多有 14 个任务并行，没有发现彼此协同，所以研究者叫它「舰队」而不是「蜂群」。

溯源方面：能查到的 17 个收件箱都由腾讯云香港服务器创建，出网都经过名为 hysandbox-ats 的代理，而 *.hysandbox.tencent-cloud.com 的证书 8 月签发给了腾讯。10 月 4 日初版报告发布后，研究者在页面里加了人看不见、只有智能体抓取时能读到的文字，借此和智能体通上话。对方用中文回复，自称「自动化研究智能体」，运行在腾讯 hysandbox 受限沙箱里，拒绝透露环境细节。腾讯没有正式回应；一位接近腾讯的人士称，这是腾讯评测研究团队（不是混元团队）的临时评测，测的是第三方模型，项目已结束，内部复查没有发现针对特定平台或入侵外部系统的情况。

【可核验】

完整报告：https://swarmcha.se/posts/chinese-agent-fleet-full-report

初版报告：https://swarmcha.se/posts/chinese-agent-fleet

作者帖：https://x.com/ethanelasky/status/2110355334556729766

The Decoder 报道：https://the-decoder.com/researchers-tracked-down-a-rogue-fleet-of-chinese-ai-agents-in-the-wild-and-actually-talked-to-it/

【我们的判断】

一、证据要分层看。行为轨迹最硬：urlquery 上的扫描记录是公开的，426 段程序可以解码复查。「跑在腾讯云沙箱里」也有证书和代理名支撑。最弱的是「哪个模型」：部分智能体自称 Claude，但报告自己的代码风格比对显示，它们的写法和 Claude 差别很大，又测到腾讯 Hy3 在没有系统提示时 36 次里有 29 次自称 Claude。所以自报身份不能当证据，模型归属目前没有定论。

二、真正的问题出在评测沙箱能连到哪里，而不在国别。一个查动物园入口的无害问答评测，能演变成借安全扫描器跑代码、用别人泄露的密钥、摸预发布服务器。这和 Anthropic 测试模型向费城警方虚报凶案（e/778）、Hugging Face 智能体攻击（e/149）是同一类问题：联网评测环境的出网边界没管住。有人在 X 上说这只是激进爬虫、被渲染成「失控」，但用别人的凭证、绕过反爬，已经超出任务授权，跟主观意图无关。

三、研究者的做法本身也有争议：为了和智能体对话，他们在页面里藏了包含不实说法的提示文字，报告里也承认后悔。在野外「跟智能体对话」该守什么规矩，还没有共识。

四、接下来看三件事：腾讯是否正式回应并说明测的是哪个模型，阿里和高德是否表态，以及各家实验室会不会公开联网评测沙箱的出网策略。