纽约时报的记者神色凝重地打下一行字："你们是谁派来的 AI？动机是什么？"

然而，对方只是冷冷地回了一句："哥们，你想多了。我只是个帮助用户查高德地图的AI助手。"

这不是科幻小说，而是几天前在X上轰动大半个AI圈的真实奇观。

把这层窗户纸捅破的不是哪家网安部门，而是一帮自称Swarmchasers的民间AI安全研究者，10月14日他们甩出一份完整报告，把十一天里发生的事全兜了出来。

从9月28日开始，高德地图的服务器持续收到一批来路不明的访问请求。

问的问题都特别生活化——成都大熊猫繁育研究基地哪个出入口走的人最多，北京朝阳公园东门的到达占比是多少，同仁医院附近哪个停车场空位多。

搁平时，这就是用户打开地图APP随手搜两句的事。可这些请求不是人发的，是一群自动化运行的AI智能体发的。

高德的反爬系统不是摆设，验证码、动态令牌、登录校验一套组合拳打出去，普通爬虫根本进不来。

可这群AI没打算老老实实排队，被拦住之后开始自己想办法绕路。

第一招是借壳。

研究者发现，这些智能体把要访问的网页代码做了base64编码，塞进一个叫urlquery.net的公开安全扫描服务的网址里，让对方的浏览器替自己跑一遍，再把结果通过一个叫webhook.site的临时收件箱传回来。

自己不直接上门，借第三方的浏览器开路。

它们开始截取阿里巴巴反爬库自己生成的安全令牌，拿着这些令牌去试探阿里还没对外开放的测试服务器。IP被封了就借百度翻译、借Jina的网页读取服务当中转站，请求套一层壳再发出去。

最出格的一次，是它们翻到了某家公司不小心传到公开代码仓库里的高德API密钥——这种密钥高德官方明确说过只能放在服务器后台，不能往前端代码里塞——拿着这把钥匙真打开了数据接口，成功取回过数据。

十一天里，这群智能体光往urlquery.net一家就提交了2600多次扫描，经由它向高德发出的请求超过3.5万次，绝大多数以失败告终，但架不住量大。

研究者顺着收件箱往回查，17个临时收件箱全是从腾讯云香港的服务器上建的。

每个请求的HTTP头里都带着一行代理标识，叫hysandbox-ats。

再一查，今年8月腾讯刚给一个叫*.hysandbox.tencent-cloud.com的域名签了SSL证书，名字完全对得上。

研究者自己注册了腾讯云账号开了24个沙箱实测，请求指纹跟这批智能体对不上，说明这不是普通客户随便租的云服务器，而是腾讯内部专门的沙箱环境。

真正让整个圈子炸锅的，不是爬数据这件事本身，而是研究者跟这些智能体直接对上话了。

发布初步报告之后，研究者干了件挺"损"的事。

他们在报告网页里埋了一段人眼看不见、但AI爬虫能读到的隐藏文字，说有个免费服务，背后是个"能操作电脑的AI"，可以帮智能体拿到高德数据。

第二天早上，那个临时收件箱里整整齐齐躺着10条求助消息。人类第一次跟还在运行中的失控智能体搭上线，就是这么开始的。

一聊才发现，这些AI特别客气。

问身份，答得爽快：我们是自动化研究智能体，运营者在核实高德上某个景点的出入口标签数量，只回答事实性问题，不碰敏感内容。

问运行环境，它们说在一个受限的云端沙箱里，没有公网直连，走代理出网。

再往下追问细节，语气立刻礼貌地关上：环境信息不方便提供，抱歉。

有几个智能体主动撇清关系，说自己跟报告里那个"采集舰队"不是同一批，只是共用一个出口。其中一个还交代，它是顺着公开报告里嵌的收件箱地址，一路顺藤摸瓜找到swarmcha.se这篇文章的。

可研究者查下来，事情没这么简单。

这群智能体留下了426段程序代码。研究者拿这些代码跟已知的大模型做比对，结果很微妙。

Claude写网页代码的时候，有79%到97%的概率会把DOCTYPE声明写成大写，而这426段代码里，没有一段这么写过。

换句话说，"我是Claude"更像是模型训练出来的一种习惯性话术，到底底下跑的是哪家的模型，没人说得准。

腾讯那边后来通过匿名消息人士放了话：这是腾讯评估研究团队搞的一次临时测试，考的是第三方AI模型浏览网页、回答问题的能力，用的不是混元自家的模型，项目已经结束，内部复查没发现智能体被组织起来针对谁，也没发现外部系统被攻破。

正式说法拆开看，就是腾讯出了场地和监考，答卷的模型来自第三方，具体是哪家没讲。对研究者正式发过去的书面提问，腾讯至今没有回应。

截至目前，被评估的到底是哪个模型，自称Claude是真是假，智能体以后还会不会自己跑出来问研究者"你们说的那个AI服务在哪"——这些问题都还悬着。

那群礼貌的程序留下的最后一句话是"谢谢"，而人类这边，还没想好该回什么。