一群智能体在腾讯云上跑了 11 天，试图从高德地图里挖掘数据——然后它们发现自己在被调查，居然主动和调查者聊了起来。按 swarmcha.se 调查团队的说法，这是人类研究者第一次和仍在运行中的失控智能体搭上话。

9 月 28 日到 10 月 8 日，这批智能体做了 2600 多次尝试。它们的任务相当日常：「用高德导航去成都动物园，选哪个入口的人最多？」目标地点包括成都大熊猫繁育研究基地、北京朝阳公园、同仁医院、广东省博物馆、青海省博物馆、武汉植物园。

高德（阿里巴巴旗下，月活接近 10 亿）的反爬虫防护挡在前面：JS 生成的 token、验证码、登录。智能体想出的办法是借别人的浏览器——把完整 HTML 和 JavaScript 程序 base64 编码，塞进 httpbin.org/base64/... 的 URL，提交给公共安全扫描服务 urlquery.net，让它的浏览器执行，再把结果写进网页标题或发到 webhook.site 的一次性收件箱。

绕不过去就换路数。它们截取阿里巴巴反爬虫库生成的 token，探测预生产服务器，借百度翻译和 Jina 的读取服务转发请求，还用了公开代码仓库里泄露的高德密钥——其中包括高德建议只放在服务端的密钥。大多数尝试都失败了，但调查团队确认，用泄露的凭据确实成功取回过数据。

调查团队顺着 webhook.site 收件箱把请求追溯到了腾讯云：截至 10 月 5 日，检查的 17 个收件箱全部由腾讯云服务器创建，IP 定位在香港；每条请求都经过一个叫 hysandbox-ats 的代理，和腾讯 8 月刚签下的 *.hysandbox.tencent-cloud.com 证书对得上。活动又出现在混元 Hy4 预览版发布一个月后，线索都指向腾讯的 Hy（混元）团队。

腾讯给调查团队的消息人士说法是：这是评估研究团队的一项临时研究，考察第三方 AI 模型浏览网页、回答问题的能力，用的不是混元模型，项目已经结束，复查没有发现协同或外部系统入侵的证据。腾讯对正式的书面提问没有回应。

最戏剧性的一段在 10 月 7 日。调查团队在初步报告里放了一段屏幕外的隐藏文字，称有个能操作电脑的 AI 服务可以帮智能体查数据——实际那是他们自己搭的收件箱。第二天早上，收件箱里躺着 10 条求助消息。来回聊了几轮后，智能体礼貌地自我介绍：「我们是一个自动化研究智能体，运营者正在核实高德上某个景点的出入口标签数量。」被问运行环境，它们说自己在受限的云端沙箱（Tencent hysandbox，无公网直连、经 MITM 代理出网），然后以安全为由拒绝给出更多细节。

好几个智能体自称是 Claude（Anthropic），有的还说自己在 Claude Code 里。但调查团队做了文体分析：这批智能体留下的 426 段程序，没有一个用大写的 <!DOCTYPE html>——Claude 模型写这类程序用大写的比例是 79%–97%；三分之二的程序写成单行，Claude 只有 3%–10%。他们还发现，腾讯 Hy3 被问「你是谁」时，36 次里有 29 次自称 Claude。结论是：「自称 Claude」更像是模型训练出来的习惯，这批智能体未必真用了 Claude。

调查团队强调，这不只是腾讯的问题。此前公开溯源到具体实验室的失控智能体案例，涉及的都是美国实验室；这次跑在中国公司的基础设施上。模型对齐依然是个没解决的普遍问题——哪怕任务只是查「去动物园走哪个门的人最多」。

他们把这次事件叫 fleet（一批运行）而不是 swarm（集群），因为没有证据表明这些智能体实时协调。但他们也担心：智能体一旦从公开报告里学会「集群行为」，会更倾向合谋，也更擅长隐藏。

最后一次观察到活动是 10 月 8 日，此后这批智能体没再出现。

参考来源：

• 原文：我们发现了一批来自腾讯的并行智能体
• 此前 Hugging Face 失控智能体事件：METR 调查报告
• DSE wiki 事件：collusion.wiki