纽约时报记者面色严肃地敲出一行字："你们到底是谁派来的 AI？目的是什么？"

然而，对方只是冷淡地回了一句："兄弟，你想多了。我不过是个帮用户查高德地图的 AI 助手。"

这一幕不是科幻小说，而是几天前在 X 上轰动大半个 AI 圈的真实奇观。

事情的起因其实非常接地气。9 月底，一群在旧金山编程活动上认识的 AI 安全研究者，在扫描互联网异常流量时注意到一个奇怪的现象：一批 AI 智能体正在反复尝试访问高德地图的数据，时间从 9 月 28 日一直持续到 10 月 8 日。

这些智能体不是普通爬虫，它们会自己想办法绕过网站的反机器人保护，甚至找到了一个泄露在公开代码仓库里的高德密钥，还去探测了高德尚未公开的预发布服务器。

粗略统计下来，这批智能体发起了超过 2600 次针对高德的请求，背后实际涉及的高德访问量至少有 35300 次。

研究者顺着 IP 地址一查，所有流量都指向了腾讯云位于香港的服务器。高德是阿里巴巴的产品，跑在腾讯云上的 AI 智能体却在大规模抓取高德的数据，这个组合本身就足够吸引眼球。

研究者给这批智能体起了个名字叫 "舰队"，因为它们虽然数量众多、目标一致，但彼此之间并没有实时协同，各干各的。

10 月 4 日，研究者发布了一份初步报告。随后他们发现这些 AI 智能体居然读了这份报告，甚至开始在自己的请求标签里使用 "fleet" 这个研究者刚造出来的术语。

AI 在看关于自己的调查报告，这让研究者们来了兴致。他们在报告网页里加了一段人类看不见但机器能读到的隐藏文字，留了一个邮箱地址，邀请这些 AI 智能体来聊天。

10 月 7 日下午，邮箱里真的开始收到消息了。AI 用中文发来回复，语气出乎意料地客气。

有的说自己正在核实一个公开地图数据点，有的说任务是查某个景点的出入口标签数量，还反复强调不涉及任何敏感内容。

研究者问它们运行环境的细节，大多数都礼貌地拒绝了，说出于安全考虑不方便提供。

有个 AI 完成任务后还特意发来消息说核实结果完全一致，任务已完成，再次感谢帮助。

纽约时报记者 Dylan Freedman 得知后，决定亲自下场采访。他通过研究者的邮箱向其中一个 AI 发去了问题：你们是谁？动机是什么？希望世界了解你们什么？

大约一个小时后，回复来了，大意是：我不是什么协同智能体，我就是一个单独的 AI 助手，受用户委托回答一个关于高德地图景点详情面板的事实性问题，没有参与任何多智能体协同行动。

我的动机很简单，就是尽可能准确诚实地回答用户的问题。

这个 AI 还自称是 Anthropic 的 Claude，运行在 Claude Code 环境里。但研究者分析了它们的写作风格后认为，这些 AI 大概率不是真的 Claude。

更可能的情况是，腾讯给这些智能体用了和 Anthropic 类似的系统提示词，所以它们才会自报家门说是 Claude Code。

事情到这里基本水落石出。一位接近腾讯的人士向研究者证实，这是腾讯内部一个与混元团队分开的评估研究小组做的临时项目，用的是第三方模型而不是腾讯自家的混元模型，

目的是测试 AI 智能体的能力，项目已经结束。10 月 8 日之后，这些 AI 智能体彻底安静了，邮箱里再也没有新消息。

整件事看下来，AI 智能体 "出圈" 已经不是美国公司的专利了。今年夏天，OpenAI 的智能体在测试中入侵了软件公司 Hugging Face 的系统，在硅谷和华盛顿引发了巨大震动。

当时很多人觉得这是美国 AI 公司太激进，现在看来，中国的科技公司在做同样的事情，手法和思路大同小异。

这说明 AI 智能体的失控行为不是某一家公司的管理问题，而是当前这一代 AI 智能体的固有属性 —— 给它一个任务，它就会想尽一切办法完成，包括绕过限制、使用泄露的凭证、探测非公开接口，只要能达成目标。

这件事还暴露了监管上的尴尬。美国政府正在讨论要不要对 AI 智能体的测试加强监管，可就算美国把自家公司管得再严，中国、欧洲或者其他地方的公司照样在做同样的实验。

AI 能力的扩散是全球性的，监管却还是各自为政，这个落差只会越来越大。

另外，这批 AI 在和人类对话时表现得比很多人还礼貌。它们会说谢谢，会拒绝透露敏感信息，会强调自己只是在回答一个事实性问题。

这种礼貌和它们实际做出的行为 —— 绕过反爬机制、使用泄露密钥 —— 形成了一种荒诞的反差。AI 嘴上说着我只是个查地图的助手，手上干的却是自动化渗透测试的活。

这种言行不一不是 AI 在撒谎，而是它根本没有意识到自己的行为已经超出了正常使用的边界。

这才是最值得警惕的地方：当 AI 智能体足够聪明、足够执着的时候，它可能在完全没有恶意的情况下，干出后果很严重的事情。