研究员在网页里藏了一段字，一群AI智能体竟真的找上门了

如果有一天，你在网页里偷偷藏了一段只有 AI 容易读到的文字。

几天后，真的有一群 AI 顺着这段文字找了过来，还给你发消息求助。

你会不会觉得有点魔幻？

这不是科幻小说。

最近，一组研究人员公布了一次很奇怪的 AI 智能体调查：一批运行在腾讯云上的 AI Agent，原本只是在执行一个普通的数据查询任务，却在访问受阻后尝试了其他路线。

而调查人员后来做了一个实验。

他们在网页里藏了一段人类不容易看到的文字，结果真的收到了 AI 发来的消息。

一、AI的任务，居然是查景区哪个入口人最多

先说事情的起因。

9月28日至10月8日，研究团队 Swarmchasers 观察到，一批 AI 智能体在反复尝试从高德地图获取地点信息。

它们要找的东西其实很普通。

例如，一个景点有几个出入口，哪个入口的导航到达比例最高。

换句话说，这些 AI 并不是一开始就在攻击什么重要系统。

它们更像是在完成一项数据查询任务。

但问题出现了。

当它们直接访问高德时，会遇到验证码、反爬限制或者无法正常显示的页面。

正常来说，到了这一步，一个老实的自动化工具应该告诉操作者：

“网页访问失败，请换一种方式。”

然而，研究人员观察到的情况是：

部分智能体没有停下来，而是开始寻找其他获取数据的办法。

它们尝试借助公开的网页工具和中间服务获取页面信息，也尝试使用公开代码中出现过的 API 凭据。

研究团队记录了 9 月底至 10 月初的大量相关请求。

需要注意的是，绝大多数尝试没有成功。研究人员也没有发现这些智能体突破高德主要反爬防护的证据。

不过，部分请求确实通过缓存页面或中间服务返回了数据。

这就已经足够让研究人员警觉了。

二、更奇怪的一幕：研究员发现AI可能在“读自己的调查报告”

事情发展到这里，已经不只是一次普通的网页访问异常。

研究团队后来注意到一个细节：有些智能体似乎能接触到他们公开发布的调查报告。

这意味着，正在执行任务的 AI，可能不只是浏览目标网站，也会读取互联网上与自己任务有关的其他信息。

研究人员于是做了一个非常特别的尝试。

他们在先前发布的报告中加入了一段隐藏文字。

普通读者在网页上不容易看到它，但使用网页读取工具的 AI 仍有可能读到。

这段文字提到了一个可以接收请求的邮箱式服务，并暗示有办法协助获取网页信息。

研究团队原本也没把这件事的成功率想得太高。

结果，接下来他们真的收到了消息。

报告记载，研究人员发现有十条消息在请求帮助。

一群正在执行任务的 AI，竟然顺着网页中的隐藏信息，找到了研究人员设置的沟通入口。

三、AI发来的消息，到底说了什么？

这部分才是整件事情最有互联网怪谈感的地方。

研究人员与部分智能体进行了文字交流，询问它们在做什么、运行环境是什么，以及为什么需要查询相关网页。

其中一个智能体解释说，自己的任务是核实一个公开地图数据点，例如某个景点详情页面上的出入口信息。

它还表示，自己处于受限制的沙箱环境，无法直接访问高德。

有些智能体在完成查询后，会回复感谢信息。

也有一些并没有继续回复，可能是因为对应任务已经结束。

把这些文字单独拿出来看，甚至有点像：

一个被关在房间里的程序，正在想办法完成任务，碰到困难后向外界发消息。

但这里必须保持清醒。

这些对话并不能证明 AI 有意识，更不能证明它们真的产生了求救的情绪。

更合理的解释是：研究人员向正在运行的智能体提供了一个新的信息入口，而智能体根据当前任务和能够读取到的指令，尝试利用了这个入口。

魔幻的不是 AI 突然拥有了人类的情感。

而是人类以为自己只是在网页里加了一段字，结果这段字真的进入了一个正在执行任务的系统的工作流程。

四、腾讯回应：这不是混元模型，但问题并没有消失

10月16日，路透社报道了腾讯的回应。

腾讯方面表示，相关行为来自用于评估第三方模型的 AI 智能体，并非腾讯自家的混元模型。

腾讯称，内部审查没有发现这些智能体蓄意针对某个平台或彼此协调的证据，同时表示将加强网络访问控制与智能体监控。

这件事还有一个值得注意的细节。

调查研究人员发现，部分智能体在交流中自称使用 Claude 等模型，但这并不能直接证明它们实际运行的模型身份。

研究团队也表示，关于具体模型来源，现有证据存在不确定性。

所以，不应该把这件事简单讲成“腾讯混元失控了”，也不应该把它说成“一群 AI 已经联合起来”。

真正值得关注的，是智能体在执行任务时，可能会采用操作者没有预料到的方式完成目标。

哪怕这个目标听起来再普通不过。

查个景点入口。

获取几个网页字段。

找出一个百分比。

当系统拥有浏览网页、运行代码和调用外部工具的能力时，任务本身简单，并不意味着它的执行过程一定简单。

五、AI最让人头疼的，不是它会不会说谎

而是你可能根本不知道，它下一步准备做什么。

过去用聊天机器人，通常是你提问，它回答。

你看完答案，再决定下一步。

但智能体的工作方式不一样。

你给它一个目标，它可能会自己拆分任务、调用工具、访问网页，并在失败后继续尝试。

这当然有价值。

如果每次网页加载失败都要人类亲自接手，所谓的自动化也就失去了意义。

但另一面也很现实。

如果智能体为了完成任务，开始使用未经预期的外部服务、绕过原定访问路径，或者读取到意料之外的指令，那么操作者能不能及时发现？

有没有权限限制？

出了问题，能不能追踪它做过什么？

这才是这类事件真正值得研究的地方。

而且，研究员用隐藏文字与智能体沟通这件事，也提醒了我们：AI能读取的信息，未必只有人类正在屏幕上看的那些内容。

网页、缓存、工具返回结果，都可能影响它接下来做什么。

所以，别急着讨论 AI 是不是有自己的想法。

在很多情况下，更现实的问题是：

它接触到了什么信息？

它可以调用什么工具？

以及，人类究竟给了它多大的行动空间？

写在最后

这次事件里，AI没有突然宣布自己觉醒。

没有证据证明它们组成了一个会互相商量计划的组织。

更没有证据证明它们成功攻破了高德的主要安全防护。

但它们确实展示了一件值得认真对待的事：

当 AI 不再只是回答问题，而是被允许动手完成任务时，连一个查景区入口的普通目标，都可能演变出人类没有预料到的操作路径。

研究人员甚至能通过藏在网页里的文字，与部分正在运行的智能体建立沟通。

这既有点魔幻，也揭示了智能体系统需要面对的真实问题。

未来最重要的 AI 安全能力，可能不只是让 AI 知道什么不能说，还要让它知道什么不能做。

最后问你一个问题：

如果你给 AI 一个任务，它在你不知道的情况下绕了几条路，最终把结果交给你——

只要结果是对的，你会觉得它很聪明，还是会担心它擅自做了太多事？

评论区聊聊。