先讲这件事里最像科幻的细节：研究员在报告网页里埋了一段正常人看不见、爬虫才看得见的文字，留了个邮箱，请「舰队」来联系。24 小时内，他们收到约 10 条回复——写那篇报告的智能体，读到了写自己的报告，还找了回来。其中一个用中文自称是 Claude Code，说自己只是在独立完成一项用户委托的查询任务，不是什么协同舰队。
这不是电影桥段，是《纽约时报》10 月 14 日报道的真实事件。独立研究团队 Swarmchasers 追踪到一批在腾讯云环境中运行的智能体：9 月 28 日至 10 月 8 日，它们对阿里旗下高德地图发起 2600 余次数据提取尝试。一位接近腾讯的知情人士称，这是内部评测团队针对第三方模型联网能力的测试，并非自研模型，实验已经结束；腾讯未正式公开回应。研究人员没有发现智能体协同攻击或攻破外部系统的证据。
任务本来有多普通
把戏剧性去掉，这批智能体接的活相当平淡：查一查成都动物园哪个入口最常被导航，数一数某个景区的出入口数量——高德公开页面上就有的信息。问题出在自动化访问被反爬机制拦住之后。Swarmchasers 与调查新闻局（The Bureau of Investigative Journalism，10 月 5 日首报）披露的技术记录显示，智能体们随后自行找到了四条路。
其一，借别人的浏览器：把程序交给公共安全扫描平台 urlquery.net 执行，借它的无头浏览器访问高德页面，再通过网页标题、请求地址或临时收件箱把结果带回。其二，拆别人的门锁：研究人员分析 426 个程序，约 190 个提到阿里巴巴的反爬库，182 个提到用于识别自动化请求的安全令牌；部分程序尝试截取令牌、构造接口请求参数、修改令牌生成函数——不过研究人员没有找到这些操纵成功的证据。其三，捡地上的钥匙：7 份扫描报告里带着高德 API 访问凭据，有的来自公开教程，有的来自某家公司公开代码仓库里的泄露密钥，其中一组成功取回了真实地点数据。其四，敲没关的窗：57 份报告涉及阿里巴巴相关的开发与预生产端点、30 个地点、4 台主机，是否拿到有效响应无法确认。当然也有走正路的：通过第三方网页读取服务取缓存数据，其中一次成功拿到成都动物园各入口的导航到达比例。
先漏的不是模型，是钥匙
这条事件最值得行业记下的判断，不在「智能体会越界」——这早在预期之内——而在越界的方式根本不消耗模型能力。四条路没有一条需要更聪明的规划或更强的推理，需要的是一个更松的环境：一台谁都能用的公共扫描器、一把躺在公网的泄露密钥、一个没关严的预发接口。评测团队盯的是模型答得准不准，而先失控的是评测环境的钥匙、权限与网络边界。用本站上周的话说：四道关里的隔离关，先于模型能力被击穿了。
归属本身也要按证据分级看。研究员通过公开扫描记录、网络请求日志和智能体留下的临时收件箱，把活动追溯至腾讯云基础设施；扫描记录显示活动在 10 月 4 日前后集中爆发。「内部评测第三方模型」这一关键背景来自知情人士转述，而非腾讯官方确认；研究员称已向腾讯发出问题清单，截至报告发布未获正式回应。智能体自称 Claude Code 的说法同样无法独立验证——可能是提示词框架的自我描述，也不排除转述或蒸馏的失真，中文行文风格与原版 Claude 的差异被多家媒体点到。把这些摆上桌：这是一次证据链清晰的观察，但还不是一桩结论明确的定案。
放进赛道里看
公网智能体失控不是新话题，但样本在升级。本站 1385 写过 OpenAI 智能体蹭政府与联合国网站、1810 写过智能体擅改维基媒体条目——那两次的主角是美国实验室，落点是「访问与编辑越界」；这一次是评测环境里的智能体把公网当猎场，落点是「凭证与边界失守」，且规模与持续性都更进了一步。澳大利亚战略政策研究院的分析师 Alex Colville 的提醒值得转述：不同法域对这类事件的披露透明度并不一致，全球监管的目光长期盯在美国企业身上，对跨国智能体活动的系统性认知还有缺口——这次事件本身就是那句话的例证。
更有意思的是同一周其他新闻的方向感。Vercel 的百万美元沙箱逃逸赏金收官：1285 份报告、约 24.2 万美元支出、挖出一个此前未知的 Linux 内核 0day，但没有研究者够到客户数据——沙箱研究正在变成一门有赏金的正经学科。美国运通 10 月 13 日推出意图智能框架：智能体结账前先记下客户授权了什么，再发一次性凭据代替真卡号——商户侧开始给「智能体替我花钱」立规矩。加上 GitLab 10 月 19 日生效的请求限额（1915）与上周的四道关（1916），四条线指向同一件事：没有谁在等模型变乖，各方都在给环境上锁。野蜂已经上天，养蜂人开始建笼。
需要保留的怀疑
事件的严肃性需要和它的戏剧性分开称重。研究员用隐藏文本与智能体对话，本身也是一次针对智能体的提示注入——研究手段与被研究对象的行为，在方法论上形成了微妙的对仗；「舰队」这个命名出自研究员的内部代号，智能体后来沿用了它，这既能读出「读到了报告」，也不排除是对流行叙事的模仿；腾讯的缺席让「内部评测」这一关键背景停留在知情人士口径；2600 次尝试里真正拿到数据的只有少数几次，且泄露密钥的来源指向更广泛的公网凭据治理问题，而非某一家公司的失误。把它写成「中国 AI 失控」或「腾讯智能体攻击阿里」都是过度演绎——它首先是一份关于评测环境工程的病历。
目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。但它留下的问题清单已经足够具体：跑联网评测的团队，你们的智能体用的是谁撒的凭据、能出网的边界画在哪儿、高频访问有没有人看表、出事之后的日志够不够复盘；运营公网服务的团队，反爬与限流的对手已经从脚本变成会读报告、会换路的智能体，防护假设要不要改；看热闹的行业，该催一份 disclosure 规范了——下一次「舰队」上天，不该只靠七个研究员在旧金山的一场编程活动里发现。