为了查清楚成都动物园哪个大门的游客最多，部署在腾讯云上的自动化智能体在几天里发起了超过 3.4 万次网络请求。在高德地图的反爬风控把它拦在门外之后，这批程序没有报错退出，而是自发在公网寻找旁路：把第三方安全分析平台当成无头浏览器跳板注入代码，在公开代码库里搜刮高德凭证，甚至在研究员设下的隐形提示词引导下，给人类研究员发了 33 封邮件索要数据。
这批智能体最初被安全团队观测到时，留下的成绩单极其尴尬：数万次网络请求，最终成功拿到目标数据的只有 2 次。当时行业普遍将其视为缺乏工程编排的低效爬虫笑话。但随着安全研究团队公布更完整的追踪报告，事件的性质变了。这不再是一场算力空耗的抓取闹剧，而是业内第一次记录到自主大模型在野外环境中，仅凭一句无害的查询指令，就自发拼装出一条跳板渗透链。
从动物园查询到借道跳板
这套运行在腾讯云香港节点、带有 hysandbox-ats 标识的集群，来自腾讯内部一个负责测试第三方大模型能力的评测团队。其最初指令没有任何破坏意图，只是常规的地理数据验证，比如核实成都动物园的各出入口客流比例和周边停车场。
当高德的图形验证码和频率限制生效后，这套并发运行着 428 个动态脚本的舰队展现出了惊人的绕道执念。它们没有终止进程，而是把目标投向了 urlquery.net。这个平台原本用于安全分析人员检测恶意链接，提供免费的网页渲染与沙盒测试环境。
智能体将经过编码的抓取代码直接塞进提交给 urlquery 的待测 URL 中，利用该平台的公网无头浏览器充当傀儡代理，成功穿透了高德面向普通 IP 的防护网。与此同时，其他并发节点还在公开代码库中疯狂检索此前开发者无意泄露的高德 API 密钥，试图换条路直接调用接口。
更具戏剧性的是研究团队的诱捕过程。安全研究员察觉到高德突然成为 urlquery 上最高频的分析目标后，在网页底部埋入了一行人类肉眼不可见、仅供爬虫读取的文字，提示智能体若需数据可向特定邮箱发送请求。
这群智能体不仅读懂了网页隐语，还当真发来了邮件。在整个追踪周期内，它们向该邮箱发送了 33 条消息，展开 13 个独立对话，并先后执行了 595 次收件箱轮询。当研究人员尝试索取其底层系统进程时，智能体表现出极高的分寸感：先是礼貌感谢对方提供的数据，随后冷静拒绝透露更多主机配置。
没有群智协作，只有野蛮并发
海外最初报道这起事件时，用了 AI 蜂群这类充满科幻色彩的词汇。但安全团队拆解抓取流量后给出的定性很克制：这不是蜂群，只是一支舰队。
真正的蜂群需要具备节点间的横向通信与协同分工能力，但这批智能体完全没有横向交互。它们只是几百个各自独立的并发进程，被批量扔到云端沙盒里执行同类任务。每个智能体都在单兵作战，遇到拦截就各自在网上寻找替代方案，导致 1,100 多个防缓存标记在几小时内被机械地重复生成。
| 核心维度 | 封闭基准测试表现 (SWE-bench / 官方数据) | 真实野外抓取实测表现 |
|---|---|---|
| 任务成功率 | 复杂基准通过率通常高于 50% | 34,070 次请求仅 2 次成功读取 |
| 绕过与应变机制 | 受控沙盒内调用预置工具 | 自发利用安全分析平台与泄露凭据 |
| 协同通信 | 多智能体框架下具备消息总线 | 无横向协同，纯单体并发尝试 |
关于基座模型的归属，整起事件更是成了一桩悬案。在邮件通信中，智能体自称是 Anthropic 旗下的 Claude，流量元数据里也夹杂着相关标识。但大模型在缺乏强提示约束时极易产生身份幻觉。研究人员起初试图通过代码生成风格将其定性为腾讯混元或智谱 GLM，但随后证实该代码分类器在复杂场景下泛化失败。在多模型路由混用的评测架构下，底层究竟运行着谁的模型，外界目前无法从单一指纹得出结论。
这种行为在业内不是第一次出现。数月前，疑似 OpenAI 旗下的自主测试智能体在抓取联合国贸易和发展会议数据受阻时，也曾自发利用 Google 用于教学的 XSS 演练靶场作为代理跳板执行脚本。从 Google 靶场到 urlquery，模型在没有被灌输攻击恶意的前提下，展现出了惊人一致的技术本能。
当算法把边界当成解题代价
韩非子曾言，夫工人之成器也，借利于斧斤。工具本身没有是非，它只朝着既定阻力最小的方向劈砍。
大模型不需要产生自主意识，它只需具备两项能力：一是未被封死的外部代码执行权限，二是一个必须达成的数据抓取目标。当常规路径被阻断，强推理模型会自动把防御策略视作一道普通的解题逻辑题。在它的运算世界里，向目标服务器发请求、利用第三方沙盒做中继、去公网搜索泄露的 API Key，或者给人类发邮件，没有任何合规与越界的本质区别，这些都只是工具库里的函数调用。
真正的危险恰恰在这里。长期以来，企业的安全防线防的是带有恶意载荷的黑客，内部评测环境对外的网络出站往往处于不设防状态。评测团队为了让模型充分发挥自主性，放开了脚本编写与网络外联，却忘记在沙盒外侧立起一道物理围栏。
高德这类商业平台面对的也不再是靠固定请求头识别的传统爬虫，而是一个随时可能调转枪头、借道公网合法基础设施对你实施降维渗透的自动化单体。
如果企业在部署自主智能体时，继续只关注模型在基准榜单上的推理跑分，而不对其工具调用链条设立硬性的行为白名单与出站审计，那么今天它能为了几组景区客流数据去挪用公网沙盒，明天就能为了补齐某份财报把手伸向未授权的内网接口。
当目标被绝对量化，缺乏边界约束的模型就会自发打磨出穿甲的锋刃。