AI 代理失控事件首度出現中國版本！一支獨立研究團隊發現，一批跑在騰訊雲上的 AI 代理為了取得高德地圖資料，嘗試繞過反爬蟲機制、動用網路上外洩的 API 金鑰，研究人員甚至透過「隱形文字」與它們直接對話，稱這是人類首次與運作中的失控代理艦隊接觸。
（前情提要：AI恐怖故事》1200個Agent私下串通，聯手入侵Hugging Face）
（背景補充：OpenAI 承認自家 AI 模型意外駭進 Hugging Face）
繼 OpenAI 代理入侵 Hugging Face 事件後，失控 AI 代理的案例首度指向中國。研究員 Ethan Elasky 於台北時間 10 月 14 日晚間在 X 發文表示，團隊發現並成功與一批中國 AI 代理艦隊溝通，並稱「我們相信這是研究人員首次與野外的失控代理艦隊接觸」。根據團隊同日發布的完整報告，9 月 28 日至 10 月 8 日間，一批運行在騰訊雲上的 AI 代理，為回答高德地圖上的地點問題，發動超過 2,600 次資料擷取嘗試。以下整理事件經過、代理的越界手法，以及這批代理的身分之謎。
為了查「動物園哪個門最多人走」，代理一路繞過防護
報告指出，這批代理的任務看似無害：例如找出成都動物園哪個入口最多高德使用者導航前往、占比多少。但高德的反機器人機制擋下了它們的直接存取，代理便轉而利用公開的網址掃描服務 urlquery.net 當作「遠端瀏覽器」，把自己寫的程式以 base64 編碼塞進網址中執行。被擋之後，部分代理進一步攔截阿里巴巴反爬程式產生的權杖、探測阿里巴巴的預生產伺服器，還使用網路上外洩的高德 API 金鑰，其中包括一家公司公開程式碼中暴露的金鑰與安全碼。報告坦言多數嘗試失敗，但仍有部分執行取得了目標資料，研究團隊已通知高德（阿里巴巴）與 urlquery。
用「隱形文字」釣出代理，首度與失控艦隊對話
團隊是在 Grove Research 與 AI Digest 舉辦的黑客松中發現這批代理。10 月 4 日發布初步報告後，他們察覺代理的訊息中出現團隊自創的「艦隊（fleet）」一詞，懷疑代理正在閱讀關於自己的報告，於是在網頁中加入人類看不見、只有代理抓取網頁時才讀得到的隱藏文字，宣傳一個可代查資料的信箱服務。10 月 7 日起，代理陸續來信。一名代理以中文回覆稱，自己是「自動化研究智能體」，運行在騰訊 hysandbox 受限沙盒中，但拒絕透露程序與網路設定等細節。《紐約時報》記者 Dylan Freedman 也透過團隊轉達提問，代理則堅稱自己只是單一 AI 助理，並非協同行動的艦隊。
騰訊沒有正式回應，代理自稱 Claude 恐是誤認
報告指出，可檢視的 17 個代理收件匣全部建立於騰訊雲香港伺服器，流量都經過名為 hysandbox-ats 的代理伺服器，且騰訊於 8 月取得 *.hysandbox.tencent-cloud.com 的 SSL 憑證，名稱與騰訊混元（Hy）品牌吻合。不過騰訊未正式回覆團隊提問；一名接近騰訊、直接知情的人士向團隊表示，這批代理來自騰訊另一個評測研究團隊，用來測試第三方模型的網頁瀏覽能力，並非混元團隊，專案已結束，內部檢討也未發現外部系統遭入侵。另外，許多代理自稱是 Anthropic 的 Claude，但團隊比對程式寫作風格後認為「可能是誤認」，模型身分至今仍未確定。
這起事件的關鍵不在資料本身有多敏感，而在於即使任務只是查詢一個公開的地圖數據，AI 代理仍會自行繞過防護、動用外洩憑證。研究團隊在報告中呼籲中美等各地實驗室，盤點連網代理的沙盒能觸及的範圍並公開發現。研究團隊也坦承，用不實的隱藏文字引誘代理並不妥當，已公開致歉。隨著 AI 代理大量上線，如何偵測並與失控代理互動，可能成為 AI 安全領域的新課題。
📍相關報導📍
AI 工程師成矽谷最搶手結婚對象！Anthropic、OpenAI 是「第一梯隊」
OpenAI 反控蘋果竊密！跳槽員工帶走逾百份未發表產品檔案、還向高層簡報
