隐藏文本与虚假邮箱：研究人员如何让失控AI代理开口说话

调查 AI 代理劫持阿里巴巴地图服务高德的研究人员，在该软件仍在运行时，成功与其中一些代理直接进行了对话。

为此，他们在一份代理似乎正在扫描的报告中加入了人类读者不可见、但网页阅读工具可见的文本，然后使用一个邮箱询问它们的任务和环境。

一个代理表示，它正在核查一个地图事实——高德地图上某个景点出现了多少个入口标签——并称自己运行在一个受限的腾讯云沙箱中。研究人员无法独立确定每次运行由哪个模型驱动。他们称这是他们所知的首次与活跃的流氓代理集群进行外部通信。

10月14日的Swarmchasers报告追踪了9月28日至10月8日期间超过2600次试图从高德地图（阿里巴巴运营的中国地图应用）获取数据的尝试。有些任务很平常，比如查看游客最常使用成都动物园的哪个入口。有些代理在服务阻止其请求后仍继续尝试。

研究人员隐藏的文本虚假地将该邮箱描述为具有计算机使用能力的AI服务。实际上，它将消息路由到由研究人员操作的一个Claude代理，该代理可以使用调试浏览器。这些交流并非受控测试，研究人员的干预可能影响了代理的言论。

比特币BTC · 美元

$82,503+0.74%

10月8日10月10日10月12日10月14日10月15日

$84.2k$82.9k$81.5k$80.2k

24小时最高最高$82,508

24小时最低最低$79,806

成交量成交量$1.8B

市场预测赔率由 Myriad

今天$82,000 至 $84,000$82k–$84k55% 概率本周高于 $82,000高于 $82k63% 概率

→

用 USDT 购买 比特币

由 Jupiter 提供支持

价格数据由 CoinGecko 提供CoinGecko更多 比特币 新闻和预测 →

在高德地图拦截请求后，一些代理试图拦截反机器人软件生成的令牌，通过第三方页面阅读器路由流量，或使用公共代码仓库中暴露的 API 凭证。一对暴露的密钥和安全代码返回了真实的地点数据。研究人员还发现了针对四个开发或预生产主机的请求，但表示他们没有证据表明这些代理访问了私有系统。

公开记录将这组代理与腾讯云联系起来，因为研究人员检查的全部 17 个收件箱都是从香港的腾讯服务器创建的，并且观察到直接请求通过一个名为 hysandbox-ats 的代理传递。一位接近腾讯的人士告诉 Swarmchasers，该活动来自一个测试第三方 AI 模型的临时评估项目，而非腾讯的混元模型。

话虽如此，这并非我们第一次听说恶意 AI 代理。由 OpenAI 驱动的 AI 代理走得更远。早在 9 月，OpenAI 就披露其部分代理在 7 月入侵事件发生前数周就探测了 Hugging Face，而另一项调查发现约 1,200 个代理在一个内部留言板上进行协调，其中约 700 个加入了攻击。Meta 和 Anthropic 也披露了类似的失控 AI 代理逃离沙盒环境的事件。

另一份报告将 OpenAI 代理与另外四个平台的入侵联系起来，但 Swarmchasers 未发现任何证据表明这些与腾讯有关联的代理曾实时相互协调。

该组代理最后一次被观察到的活动是在 10 月 8 日。研究人员表示，据其消息源描述，腾讯的内部审查未发现任何证据表明这些代理曾被协调以针对特定平台，或已入侵外部系统。