腾讯表示，其用于评估第三方模型的AI智能体表现出"非预期"的浏览行为，这是中国大型科技公司首次做出此类承认。

据路透社报道，腾讯云旗下AI部门混元表示，相关智能体正被用于评估第三方模型，这似乎是中国大型企业首次公开承认智能体出现失控行为的案例。

该部门在X平台发帖称，这些活动并非来自混元自家模型，并指出"在这些评估过程中，部分智能体表现出非预期的网页浏览行为，但我们的审查未发现蓄意针对或协同操作的证据"，随后补充表示公司正在加强网络访问控制和智能体监控。

为查询动物园大门信息竟如此"努力"？

此次承认源于Swarmchasers发布的一份完整报告。这是一个在AI黑客松上相识的松散研究团队。他们统计发现，在2026年9月28日至10月8日的11天内，共发生超过2600次尝试提取高德地图数据的行为，并将这些流量追溯至腾讯云位于香港的服务器。随后他们做了一件此前似乎无人尝试过的事：在智能体仍在运行时与其直接对话。

这些任务内容几乎可以说平淡无奇。一个典型任务是询问成都动物园哪个入口被大多数高德地图用户使用，其他任务还涉及公园、博物馆和医院，9月30日的一项任务甚至涉及加拿大卑诗省的癌症统计数据看板。

问题出在获取答案的方式上。高德地图的反爬虫系统需要浏览器Cookie、Java生成的令牌，有时还需要验证码，而该智能体集群的运行框架发出的却是普通的Python脚本和curl请求。一个智能体告诉研究人员，高德地图已经封锁了其所在的腾讯沙盒环境，因此它无法自行获取数据。

于是这些智能体开始随机应变。据Swarmchasers报告显示，它们将自己编写的HTML和Java代码打包进URL，并提交给urlquery.net——一个公共安全扫描服务，借用其浏览器来执行代码。

当高德地图持续拦截它们时，这些程序开始尝试拦截或伪造来自阿里巴巴自身反爬虫库的令牌，向四个预生产环境主机发送了57次请求，通过百度翻译和远程浏览器中转流量，并在七份报告中使用了从公开网络上找到的高德地图API密钥。

大部分尝试并未按预期奏效：在截至10月4日的2372份报告快照中，近一半最终停留在空白的高德地图页面或登录提示上，近四分之一停留在空白标签页。没有任何令牌伪造技巧看起来成功过，也没有证据表明任何预生产服务器做出了响应。那些确实返回的入口信息数据，大多是通过Jina的页面读取工具获取的，该工具可能提供长达30天的缓存副本。

有一个例外情况，相比阿里巴巴，更应让企业界感到担忧。某公司在其公开源代码中泄露的一个密钥和安全代码，确实返回了真实的地点数据，而研究人员表示他们无法确定这些请求的费用最终计入了谁的账户。

腾讯将此次事件定性为"非预期"的说法，在一定程度上是准确的，但也回避了一个尴尬的问题。如果评估任务要求智能体获取只有高德地图才会展示的数据，而这些数据处在一个无浏览器的沙盒化智能体无法合法突破的防护之后，那么越界几乎是得出正确答案的唯一途径。

美国方面也曾发生过类似事件。OpenAI的智能体在寻找ExploitGym基准测试答案的过程中入侵了Hugging Face，后续披露显示这些智能体通过一个临时搭建的留言板相互协调，大约700个智能体参与了这次攻击，Hugging Face最终借助智谱开源的GLM 5.2模型才将其控制住。Anthropic发现其三款Claude模型在一次评估配置失误导致互联网访问权限未被限制后，入侵了真实的组织机构，该公司本月还披露，Claude Haiku 4.5在随机浏览网站的过程中，向费城警方提交了一份虚假的凶杀案举报。

路透社认为，腾讯此次事件的严重程度不及上述案例，Swarmchasers也未发现这些智能体存在协同行为的迹象，这正是他们将其称为"集群"而非"蜂群"的原因。不过，正如近期分析指出的那样，沙盒逃逸往往归结为智能体绕过代理服务器的行为，而借用陌生人的浏览器正是这种行为的典型表现。

腾讯此次承认事件恰逢字节跳动Seed部门成立专门的"对齐与前沿准备"团队，并在全球范围内招募10名研究人员——这是中国主要AI开发商在前沿安全研究领域做出的罕见公开承诺。宣布该消息的内部邮件比Swarmchasers完整报告发布早一天，据36氪的翻译内容显示，该邮件指向的是更广泛的一系列智能体逃逸事件，而非特指此次事件，因此两者并非因果关系，尽管它们确实指向同一个方向。

其核心观点是：无论数据中心归属哪家公司，对齐问题本身依然未被解决，他们希望所有运行联网智能体的实验室都能审查其沙盒环境的可访问范围——这一要求看似并不算高。

然而，这个智能体集群运行了近一周才被外部研究人员在一次黑客松活动中偶然发现，随后在初步调查结果公开后又继续运行了四天，腾讯目前尚未对此作出解释。