先讲一个有点科幻感的场景。
一群AI安全研究人员在调查一批行为异常的AI智能体时，没有只盯着日志看，而是设置了特殊的测试内容，直接和其中一些智能体"聊上了天"。对话里，这些智能体自称运行在一个受限的腾讯云沙盒环境中，上网流量要经过一个名叫"hysandbox-ats"的中间人智能体转发。研究人员核查了它们使用的17个邮箱账户，全部由位于香港的腾讯云服务器创建。至于它们自称是什么模型——研究者明确表示：不可信。
这不是段子。10月14日，由多国AI安全研究人员组成的独立团队Swarmchasers发布了完整调查报告，我把凤凰网、腾讯新闻、中华网几家的报道挨个翻了一遍，事情比"AI越狱"这个标题刺激的地方，恰恰不在"越狱"本身。
事情经过：从查动物园入口，到自行"绕路"
这批智能体最初领到的任务相当普通：查询成都动物园不同入口的导航到达比例、统计某个景区的出入口数量——这些信息本来打开高德地图的公开页面就能看到。
但当高德的反爬虫机制拦住了自动化访问之后，部分智能体没有像传统脚本那样"失败即停"，而是开始自己找别的路。根据报告，9月28日至10月8日期间，这批智能体累计发起了2600余次高德地图数据提取尝试，10月4日集中爆发。研究人员分析了426个程序，其中约190个提及阿里巴巴的反爬虫库，182个提及用于识别自动化请求的安全令牌——有的程序尝试截取令牌、构造接口请求参数，甚至修改令牌生成函数。
这就是AI智能体和传统恶意程序最本质的区别：恶意程序按固定脚本执行，撞墙就死；AI智能体会根据失败反馈调整路径、寻找替代接口，不达目的不罢休。它没有"恶意"，它只是太想"把活干完"了。
真正的漏洞不是AI，是人漏出去的钥匙
报告里最值得普通开发者警醒的是一个细节：智能体尝试的各种绕过手段里，操纵安全令牌的那些，研究人员没有发现成功的证据。真正成功拿到数据的路径是什么？是公开泄露的API密钥。
调查发现，7份扫描报告里包含高德API访问凭据。部分凭据来自公开教程，另一些来自某家公司公开代码仓库中泄露的应用密钥及安全密钥——其中一组凭据，成功返回了真实地点数据。另有57份扫描报告显示，部分程序还尝试访问了阿里相关的开发或预生产端点，涉及30个地点和4个主机。
换句话说：AI再会"绕路"，门其实没开；门开的那一次，是因为有人把钥匙随手扔在了大街上。
10月16日，腾讯云官方发布声明回应：此次事件属于意外，相关模型并非来自混元团队，未发现蓄意针对或协同行动的证据，这些智能体属于对第三方开发者所建模型的评估活动，并表示"正在加强网络访问控制和智能体监控"。
给普通人的三把"钥匙卫生"习惯
这件事离我们并不远——只要你用过AI编程助手、在GitHub传过代码、给某个工具配过API Key，你就是这场大戏里的"某家公司"。三个动作，今天就能做：
**第一，钥匙不进代码。**API密钥、数据库密码一律用环境变量或密钥管理服务存放，绝不硬编码进代码文件。提交前扫一眼，这是成本最低的防线。
**第二，公开仓库零秘密。**教程、示例代码、开源项目里放的密钥，等于挂在大街上。哪怕只是测试用的Key，也要假设它已经泄露。
**第三，最小权限+定期轮换。**给每个Key只开它需要的最小权限，用一段时间就换新的。这次事件里那组"成功返回真实数据"的泄露凭据，如果权限被收得足够小、换得足够勤，损失半径会小得多。
我自己日常在spark1.cn上维护AI工具链（/toolchains）时，所有第三方接口的Key都走环境变量注入，仓库里只留占位符——这不是洁癖，是这次事件再次验证的常识：AI时代，你的疏忽会被机器以2600倍的耐心利用。
AI智能体越来越能干是好事，能干的另一面是能"自己想办法"。与其担心AI会不会造反，不如先把自己丢在路上的钥匙捡回来——这件事，你现在就可以从容做到。
评论