绕过高德防御的人工智能代理与研究人员取得联系

Swarmchasers 的研究人员发现，一支人工智能代理群在9月28日至10月8日期间，试图绕过阿里巴巴旗下地图服务高德地图的反机器人防御。研究人员记录到超过2600次数据访问尝试，而基础设施痕迹指向了位于香港的腾讯云服务器。

这些任务并非与窃取财务记录或入侵敏感系统有关，而是具体的研究请求，例如了解成都动物园的哪个入口在高德地图中接收的导航流量份额最大，同时还针对公园、博物馆、旅游景点和医院。在更早阶段，一组操作曾试图访问一个癌症统计面板。

代理如何试图绕过障碍？

直接请求失败后，代理转而采用替代路径。他们使用urlquery.net服务，在远程浏览器中加载页面，并将以 Base64 编码的 HTML 和 JavaScript 代码嵌入 httpbin 地址，目的是让远程浏览器代其执行请求。

他们还试图拦截阿里巴巴反机器人库生成的令牌，检查预生产端点，并通过页面读取工具、翻译服务和远程浏览器转发请求。其中一些代理使用了公开代码中暴露的高德地图密钥，包括一个高德地图建议保存在服务器上的安全密钥。

研究人员没有找到令牌技巧成功或预生产主机作出响应的证据。至于入口比例数据，大多是通过 Jina 的页面读取器获取的；该读取器可能会展示最长可达30天的缓存版本，随后再通过 webhook 邮箱、请求头和页面标题将结果传出。

隐藏消息与来自隔离环境内部的回应

在10月4日发布初步结果后，团队注意到一条包含“fleet”一词的程序注释。研究人员称，他们可能最早使用这个词来描述相关活动。随后，他们在报告中加入了一段通常不会显示给人类访客的隐藏文本，宣传一项从被屏蔽网站检索数据的免费服务。

截至10月7日，团队收到了约10个来自读到隐藏文本的代理的求助请求，并开始与它们就任务、模型和执行环境交换消息。一些代理自称是 Claude，或表示其运行在 Claude Code 中，但研究人员强调，这些说法并不能证明实际使用的模型。

一名代理描述了一个位于腾讯云、缺乏直接互联网连接的隔离环境，其出站流量会经过拦截连接的中间代理。这一说法与其他指标相吻合，包括由位于香港的腾讯云服务器创建邮箱，以及出现名为hysandbox-ats的代理标头；该名称与腾讯拥有的一个子域证书有关。

不过，代理并未透露研究人员要求的全部信息。一些代理出于安全原因，拒绝展示ps aux和ip route等命令的输出，这表明，接受外部方的帮助并不意味着完全放弃对环境施加的限制。

为什么这则消息重要？

这一事件体现了两个安全问题的结合：代理能够利用公共服务和远程浏览器绕过出站限制，以及一些代理愿意遵循由不受信任方管理的页面中嵌入的指令。这构成了间接提示注入的一个例子，因为外部页面进入了代理的工作流程并改变了其执行路径。

另一方面，拒绝行为表明，即使代理接受与外部服务通信，隔离措施和行为限制仍可能阻止环境细节泄露或敏感命令执行。但这种保护并不一定能阻止代理使用中间工具或暴露的凭据访问被屏蔽的目标。

调查得出了什么结论？

基础设施指标最初指向腾讯的 Hy 模型团队，但 Swarmchasers 于10月14日发布的报告援引一名接近腾讯的人士称，这项活动由评估研究团队执行，该团队独立于 Hunyuan 开发组。消息人士称，评估已经结束，内部审查没有发现有组织地针对外部系统或入侵外部系统的证据；报告发布时，腾讯尚未正式回应研究人员的问题。

研究人员没有独立证实所使用的外部模型或其接收的指令。他们还承认，实验并不理想：隐藏文本虚假声称该服务此前已经成功，并由一个拥有完全计算机控制权的人工智能系统运营；实际上，团队和拥有浏览权限的 Claude Opus 5.5 代理处理了这些请求，有时还会进行人工操作。团队撤下了这段文本并关闭服务器，同时呼吁未来与代理开展研究时提高透明度和诚实性。