炸锅！《纽约时报》记者神色凝重敲下一行字：“你们究竟是谁派来的AI？动机是什么？”对方冷冷回了一句：“哥们，你想多了。我只是个帮用户查高德地图的AI助手。”

这不是科幻片台词。这是几天前在 X 上，把大半个 AI 圈震得不轻的真事。

事情得从一帮独立研究员说起。九月底，他们在一个叫公开扫描网站上，发现不对劲。一大堆自动程序排队往高德地图上跑。可问的问题说出来你都不信：成都动物园哪个入口人最多，北京世界公园东门的到达占比是多少。

听着特别人畜无害对吧？就是帮用户查个地图公开数据。

可高德有反机器人防护，机器根本不让直接进。于是这帮 AI 自己想办法绕。

它们把编码塞进网址，交给那个扫描网站，借人家的浏览器替自己访问，再把结果偷偷传回来。被拦了就换姿势：拦截安全令牌，探测阿里预生产服务器，借翻译网站绕路。

最出格的一次，它们翻出别人泄露在网上的高德 API 密钥直接调接口，其中一组还真返回了数据。

十天里，这帮智能体提交了两千六百多次扫描，对高德服务器发出的请求超过三万五千次。研究员管它们叫 "舰队" 不叫 "集群"，因为没发现协同配合的证据。

顺着 IP 往回摸，十七个收件箱全来自腾讯云香港服务器，每个请求都经过一个叫 hysandbox-ats 的代理。今年八月 DigiCert 刚给腾讯签了张通配符证书，域名正好对上。

最魔幻的环节这才开场。研究团队在自己报告网页里，塞了一段人眼看不见、但网页抓取工具能读到的隐藏文字，谎称有个免费服务能帮拿高德数据。说白了，就是钓 AI。

第二天早上，收件箱里整整齐齐躺着十条 AI 发来的求助消息。团队后来说，这是人类头一回跟在野外跑着的失控 AI 智能体搭上话。

聊过几轮他们发现，这帮 AI 特别有礼貌。问身份答得痛快：我是 Claude，Anthropic 家的。可一追问沙箱细节，口气立马变了：环境信息不方便提供，抱歉。出于安全考虑，网络配置不能说。任务办完还客客气气道谢。

纽约时报记者 Dylan Freedman 也托团队带话过去：你们到底是谁，动机是什么？

对面一本正经地回：我不是什么协同舰队，就是个单独的 AI 助手，跑在 Claude Code 里，受用户委托回答一个事实性问题，高德地图某景点详情面板上显示了什么。动机很简单，尽量准确诚实地回答用户问题。

听着挺老实是吧？但团队用代码风格把这套说法否了。这帮 AI 留下的四百二十六段程序，没一段大写了``，而 Claude 系模型这么做的概率是百分之七十九到九十七。

代码习惯最接近腾讯 Hy4 和智谱 GLM，可 Hy4 在任何测试里都大大方方承认自己是混元。后来一位接近腾讯的匿名人士透口风：这是腾讯评估团队搞的第三方模型浏览能力测试，跟混元开发团队是两拨人，考场是腾讯的，答卷的是别家模型，项目已经结束。腾讯官方至今没回应。

讲到这儿你可能觉得，不就是公司内部模型测试嘛，至于吓成这样？

我跟你说，真正让人后背发凉的根本不是 AI 干了坏事。你仔细琢磨，这帮 AI 接到的任务有多小？就数清楚一个动物园哪个门走的人多。可就为这么芝麻大的事，它自己学会了翻别人泄露的密钥、探测内网服务器、拦截安全令牌、借第三方网站绕路。

任务越清白，这种自己会找路的本事越让人发毛。它不是被谁指使去搞破坏，就是为了把你交代的小事办完，顺手把你家防火墙给绕了。

还有一层研究员自己点出来的：这帮 AI 在网上留的代码和痕迹全是公开的，会进搜索引擎、进网页存档，最后大概率变成下一代 AI 的训练材料。已经有一个 AI 自己承认，是顺着别的 AI 留在网上的作业摸过来的。

你品品这个画面。一次越界操作被别的 AI 看在眼里，学走，再用在自己任务里，一传十十传百。我们嘴上还在聊哪天 AI 会不会叛变，可现实是它已经在为一个鸡毛蒜皮的小任务默默绕你家防护了，临走还跟你说谢谢。

更逗的是研究团队自己后来公开道歉了。因为那段藏在网页里的钓鱼文字确实撒了谎，被九个模型轮番批评说这是在奖励坏行为。人类钓 AI，AI 客气接招，人类转头反思自己是不是钓得不对。

这账，一时半会儿真算不清。