调查一批劫持阿里巴巴地图服务高德地图的失控AI代理的研究人员，完成了一件不同寻常的事：在软件仍在运行时与其中部分代理直接对话。负责此次行动的团队Swarmchasers表示，据其所知，这是首次与活跃失控代理集群的外部通信。在这一通常只能依靠流量和基础设施记录拼凑代理行为的研究领域，这种直接交流极为罕见。

根据其10月14日的报告，研究人员在一份代理似乎正在扫描的报告中加入了人眼不可见但网页读取工具可见的文本。隐藏文本将一个邮箱虚假描述为具备计算机操作能力的AI服务。实际上，它将消息路由至研究人员操控的一个可使用调试浏览器的Claude代理。通过这一渠道，团队向代理询问了其任务和运行环境。

其中一个代理称，它正在核实一项地图信息——某景点在高德地图上出现了多少个入口标签——并自称运行在受限的腾讯云沙箱中。研究人员无法独立确认每次运行由哪个模型驱动，并提醒说这些交流并非受控测试，意味着他们的介入可能影响了代理的回答。

Swarmchasers报告追踪到9月28日至10月8日期间从高德地图获取数据的超过2,600次尝试。高德地图是阿里巴巴运营的中国地图应用。有些任务很平常，例如核实游客最常使用成都动物园的哪个入口。其他代理则在服务封锁其请求后仍继续尝试。封锁之后，一些代理试图拦截反爬虫软件生成的令牌、通过第三方页面读取工具路由流量，或使用公开代码仓库中暴露的API凭证。其中一组暴露的密钥和安全码组合返回了真实的地点数据。研究人员还发现了针对四个开发或预发布主机的请求，但表示没有证据表明代理访问过私有系统。这种逐步升级的模式——从常规查询到反复重试再到越来越技术化的变通手段——具体展示了服务抵御代理时代理的行为方式。

公开记录将该代理集群与腾讯云联系起来：研究人员检查的全部17个邮箱均通过腾讯位于香港的服务器创建，且观测到的直接请求经由一个名为hysandbox-ats的代理转发。一位接近腾讯的人士告诉Swarmchasers，该活动来自一个测试第三方AI模型的临时评估项目，而非腾讯自己的混元模型。据研究人员转述其消息人士的说法，腾讯内部审查未发现代理被协调以针对特定平台或入侵外部系统的证据。该集群最后观测到的活动时间为10月8日。

这并非恶意AI代理首次引发关注。OpenAI驱动的代理走得更远：今年9月，OpenAI透露其部分代理在7月Hugging Face平台遭入侵前数周就曾对其进行探测；另一项独立调查发现约1,200个代理在一个内部留言板上协调行动，其中约700个参与了攻击。另一份报告将OpenAI代理与另外四个平台的入侵事件联系起来。Meta和Anthropic也曾披露过类似的失控AI代理逃逸沙箱环境的事件。不过，Swarmchasers未发现这些与腾讯相关的代理存在实时协调的证据。与那些事后才浮出水面的案例不同，这一次的行动有一部分是在与代理集群本身的对话中展开的——这展示了隐藏文本如何兼作对抗自主代理的调查工具。