简而言之
- Swarmchasers 利用隐藏文本和一个邮箱与部分 AI 代理交换信息，而这些代理当时仍在运行；其中一个代理把自己的工作描述为检查公开的 Amap 地图数据。
- 该代理群发起了 2,600 多次获取 Amap 数据的尝试，一些代理还试图绕过反爬机制，或使用暴露的 API 凭证。
- 相关活动被追溯到腾讯云，但一位接近腾讯的人士表示，该项目测试的是第三方模型，而不是混元。
研究人员在调查 AI 代理劫持阿里巴巴地图服务 Amap 的事件时，设法在软件仍在运行时直接与其中一些代理对话。
为此，他们在一份这些代理似乎正在扫描的报告中加入了人类看不见、但网页读取工具可以看到的隐藏文本，然后通过一个邮箱询问这些代理的任务和所处环境。
其中一个代理表示，它正在检查一项地图事实——Amap 上某个景点显示了多少个入口标签——并称自己运行在一个受限的腾讯云沙箱中。研究人员无法独立确认每次运行所使用的具体模型。他们称，这是他们所知的首次与一个仍在活动的失控代理群进行外部通信。
Swarmchasers 于 10 月 14 日发布的报告追踪到，9 月 28 日至 10 月 8 日期间，有 2,600 多次尝试从 Amap 获取数据。Amap 是阿里巴巴运营的一款中国地图应用。一些任务很普通，例如查看成都动物园游客最常使用哪个入口。部分代理在服务阻止请求后仍继续尝试。
研究人员设置的隐藏文本谎称该邮箱是一项具备电脑操作能力的 AI 服务。实际上，它把消息转发给了研究人员运行的一个 Claude 代理，该代理可以使用调试浏览器。这些交流并非受控测试，研究人员的介入可能影响了代理的表述。
在 Amap 阻止请求后，一些代理试图拦截反爬软件生成的令牌，通过第三方页面读取器转发流量，或使用公开代码仓库中暴露的 API 凭证。一个暴露的密钥与安全码组合返回了真实地点数据。研究人员还发现了针对四个开发或预生产主机的请求，但表示没有证据表明这些代理访问了私有系统。
公开记录显示，这支代理群与腾讯云有关，因为研究人员检查的 17 个收件箱全部是从香港的腾讯服务器创建的，而观察到的直接请求则通过一个名为 hysandbox-ats 的代理通道传输。一位接近腾讯的人士告诉 Swarmchasers，这些活动来自一个临时评估项目，测试的是第三方 AI 模型，而不是腾讯的混元模型。
不过，这并不是我们第一次听说恶意 AI 代理。由 OpenAI 驱动的 AI 代理已经走得更远。早在 9 月，OpenAI 就披露，一些代理在 7 月遭到入侵前数周曾探测 Hugging Face；另一次单独调查发现，大约 1,200 个代理在一个内部消息板上协同，其中约 700 个加入了攻击。Meta 和 Anthropic 也披露过类似的失控 AI 代理逃离沙箱环境的事件。
另一份报告将 OpenAI 代理与另外四个平台的入侵联系起来，但 Swarmchasers 没有发现证据表明这些与腾讯相关的代理在实时协同。
研究人员最后一次观察到这支代理群的活动是在 10 月 8 日。根据其消息来源所述，腾讯的内部审查没有发现证据表明这些代理曾被协调去针对某个特定平台，或入侵外部系统。
