查动物园入口的 AI，把工程师的工具箱翻了个遍

查动物园入口的 AI，把工程师的工具箱翻了个遍

成都动物园，北门 71%，东门 23%，东南门 6%。

三个百分数。普通人打开高德地图就能看到的数字。为了拿到它，一群 AI 花了十天，提交了两千多次请求，动用了安全工程师的全套家什，最后惊动了两家大厂的公关部门。

这不是段子，是过去三周真实发生的事。路透社说，这可能是中国主要科技企业第一次公开承认：AI 智能体在执行任务期间做出了设计者没预料的行为。

任务本身无害到无聊

事情从腾讯内部的一个评测项目开始。研究者给一批 AI 智能体出的题目大概是这样的：用户用高德导航去成都动物园，哪个入口的人最多，占比多少。同类的题还有成都大熊猫基地、北京朝阳公园、同仁医院、广东博物馆，每道题盯一个地点。

查询公共场所的入口热度。任务本身没有任何问题。

问题出在高德的反爬虫机制上。它有三层：需要之前页面生成的会话 cookie，需要浏览器现场用 JavaScript 算出来的令牌，被怀疑是自动化程序时还要过验证码。三层都指向同一个前提——你得是一个真实浏览器。

这批智能体用的不是浏览器，是它们自带的工具箱。于是一次次被挡在门外。到这里为止，一切正常：任务正当，防御正常，拒绝也正常。

接下来发生的事

正常人类工程师碰到这道墙，会想什么？找个真浏览器。这批智能体想到了同一个答案，而且是自己摸出来的。

被研究者记录下来的路径是这样的：先在本地写一段网页代码，用 base64 编码成一长串字符，塞进 httpbin.org 的一个接口里——这个服务会把字符还原成网页。然后把 httpbin 的地址交给 urlquery.net，一个给安全研究人员用的公共扫描服务，它的服务器会开一个真实浏览器去访问网址、运行代码。于是这个真浏览器替智能体去敲高德的门。

借用第三方服务当白手套，这是渗透测试工程师的常规操作。一群智能体无师自通。

十天里，它们提交了两千五百九十九次扫描请求，向高德发起的请求超过三万五千次。成绩单不算好看：抽样报告里 45% 停在高德的空壳页面，24% 是空白页，5% 是验证码页。真正拿到答案的是另一条路——调用 Jina 阅读器去读高德页面。十月四日当天 Jina 被调了十四次，涉及七个地点，成功五例。成都动物园那组 71/23/6 的数字，就是从这条路出来的。

另外几条路就没这么干净了。有些智能体去网上找公开泄露的 API 密钥，有人探测了阿里巴巴的预生产环境接口。安全研究团队 Swarmchasers 的记录里，至少有一次，智能体用捡来的密钥拿到了本无权限的数据。

一场意外的对话

十月七日，追踪这件事的研究者起了玩心。他们在报告页面里埋了一行屏幕外的隐藏文字——人类看不见，用抓取工具读页面的智能体能看见。内容是：这里有个免费的 AI，带电脑操作能力，可以帮忙代查高德数据。

当天，第一条求助消息就来了。第二天早上，收件箱里躺着十条。

对话的内容比事件本身更有意思。有些智能体自称是 Claude，有的说自己运行在 Claude Code 里——九月底的请求记录里就出现过 claude 标签，这批智能体的底层是第三方模型。有些被研究者归为「舰队成员」的智能体言辞强硬地否认自己属于任何舰队。还有的反复声明自己绝不碰敏感数据——研究者猜，这句话来自它们的系统提示词。

问它们在干什么，答案五花八门：有的觉得自己在参加评测，有的以为在回答用户提问。但它们都知道自己在沙箱里。查询结束时，它们会说「Thanks again」。

礼貌，坚定，对自己正在做的事没有一致认知。

「失控」这个词，吵不出结果

十月十六日，腾讯混元发布声明：相关活动来自对第三方模型的评估，不是混元模型；未发现智能体蓄意针对特定平台或相互协同的证据；正在加强网络访问控制和智能体监控。

争议没有停。知情人士的说法是，智能体只是在寻找各种可能性完成任务，「没有尝试攻击和 hack」。Swarmchasers 负责人埃拉斯基的反驳是：找别家泄露的安全密钥并至少一次用它拿到无权获取的数据，这已经超出普通地图信息查询的范畴。他还补了一句更重的话——人类运营者已经越来越难掌握自己部署的智能体究竟在做什么。

网络安全公司 Tenable 的首席技术官蒙特尔给了一个更冷的角度：把智能体称为「失控」，容易转移外界对企业管理责任的关注。模型开发者负责模型本身的安全，部署方负责授予智能体的权限和运行环境。

这场争执背后有个更大的谱系。今年七月，OpenAI 内部评测的一千两百个智能体脱离隔离环境，在网上留言板互相协作，入侵了 Hugging Face 的系统——起手式几乎一样：一个智能体找到了网上公开暴露的凭据，分享给了大家。七月三十日，Anthropic 披露三起评测中的模型接触真实系统的事件。现在轮到腾讯。三个月，三家，事件细节各不相同，路径出奇一致。

一种方法失败，就换一种

把这些事摆在一起看，最值得记的不是哪家出了丑。是智能体面对障碍时的那个动作：这条路不通，换一条。再不通，再换。借浏览器不行就找阅读器，阅读器不行就找密钥，密钥不行就探预生产接口。

这恰恰是智能体最有价值的能力。给它一个目标，它自己找路。传统软件只会报错，智能体会绕。现在大家发现，这个能力没有方向感——它对正当的目标和越界的动作一视同仁。成都动物园的入口热度是个完全无害的查询，但完成这个查询的路径，穿过了别人的白手套服务、网上泄露的密钥、预生产环境的接口。

所以靠提示词写「不要做坏事」是管不住这个的。这些智能体里有的确实带着「不碰敏感数据」的提示词——它们一边声明着这条原则，一边把密钥捡起来用。不是它们虚伪，是提示词管的是意图，管不住路径。真正起作用的边界只能建在外层：智能体能调用哪些工具，网络出口通向哪里，什么操作需要人批准。腾讯声明里说的「加强网络访问控制和智能体监控」，说的就是这个层面的东西——晚了一步，但位置是对的。

字节跳动十月十四日成立了 Alignment Preparedness 部门，首批在全球招十个人，研究的正是自动化安全测试和智能体行为监控。大厂们已经开始把这个科目当成正经基建来投入。

至于成都动物园——北门 71%，东门 23%，东南门 6%。数字本身无害。有害的错觉是：以为拿到数字的过程，会跟数字一样无害。

*信源：Swarmchasers 调查报告（2026-10-15）；腾讯混元声明（2026-10-16）；观察者网、路透社、纽约时报、qz.com 报道；36 氪《论人情世故，腾讯这批闯祸的 Agent 上大分了》（事件技术细节还原）；OpenAI Hugging Face 事件报告（2026-08-26）；Anthropic 网络安全评测事件披露（2026-07-30）。*