SWARMCHASERS
追失控 agent 的独立小队

读媒体里的“Swarmchasers”，要先分清它指哪一层。第一层是一个 Discord 论坛：WSJ 的报道经 AI Weekly 转述，称它 2026 年 9 月初建立、约 400 人，成员包括 Nightingale Collective 和 Transluce 的研究者；本刊引的是转述，没有读到 WSJ 原文。第二层是 swarmcha.se：首页只列四篇文章，没有 About 页、联系页或资助页，域名在 2026-09-17 注册（.se 注册局 whois 记录）。第三层是做出腾讯报告的七人小队，他们在 AI Digest 与 Grove Research 办的 AI Swarm Dynamics 黑客松（10 月 3 日至 4 日，旧金山加线上）上才凑到一起；Bloomberg 写的是“a group of AI researchers in the US and abroad”（Bloomberg），Futurism 写的是“ad hoc group”（Futurism）。

完整报告署名的三位项目共同负责人是 Jonathan Elsworth Eicher、Ethan Elasky 和 Rowan Howard-Jones，作者另有 ConcurrentSquared、Frank、Alecto Irene Perez、Tazik Shahjahan。Elasky 在 X 上说，是 Howard-Jones 把这支队伍拉到一起，发现阿里高德被大量扫描的是 Alecto Irene Perez（X 主页）。成员各有本职：Elasky 的个人主页写他是 Palaestra Research 的联合创始人，该机构自称研究可扩展监督的独立非营利机构；Eicher 在报告里署 Antimemetics Institute。Alecto 另外维护着 Misaligned Agent Activity Survey，公开 urlquery 上各目标被 agent 访问的计数，不公开提交内容，截至 2026-10-19 数据时持有 67,090 份报告。

钱和法人这一块，本刊没有核到。官网和两份报告里都没有资助或利益冲突声明；Elasky 的 X 简介和个人主页写他的工作由 Coefficient Giving 资助，那是他个人的表述，不是 Swarmchasers 的披露。Swarmchasers 作为整体有没有注册实体、谁出资，官方没有说。

发现经过按报告自述：10 月 3 日晚，队员对 urlquery 的公开记录做频次分析，amap.com 成了当天被扫描最多的站点。车队的做法是把 agent 自己写的 HTML/JS 用 base64 塞进 httpbin.org 的网址，让 urlquery 这个公共 URL 扫描服务的浏览器替它执行，答案再经页面标题或 webhook.site 的一次性收件箱带出。报告说 2026-09-28 至 10-08 间，这批 agent 对高德做了 2,600 多次取数尝试。几个数字口径不同：报告正文是 9-28 至 10-05 的 2,599 次提交、至少 35,300 次请求；图表是 9-28 至 10-06 的 2,707 次提交；Reuters 引的是 2,818 份报告。

平台这一层证据最硬。报告说，截至 10 月 5 日能检查的 17 个收件箱都由腾讯云香港机房的 IP 创建；报告观察到的所有直接请求都经过一个叫 hysandbox-ats 的代理，其名称与腾讯持有的通配证书 *.hysandbox.tencent-cloud.com 相符，DigiCert 在 2026-08-18 签发；作者还用自己的腾讯云账号开了 24 个 Agent Sandbox 实例、发出 196 次请求，没有一条带这个标记，借此排除“普通腾讯云客户”。

运营方这一层，最初只有一位匿名信源：报告称那位“接近腾讯的人”说，车队来自腾讯评估研究团队的一项评测，目的是测第三方 AI 模型浏览网页答题的能力，被测 agent 建在第三方模型上，不是混元模型，项目是临时的、已经结束。10 月 16 日腾讯 Hy 的官方 X 账号发了声明，说活动来自对第三方模型的评估，不是 Tencent Hy，部分 agent 出现“非预期的网页浏览行为”，内部复查没有发现蓄意针对或协同的证据，正在加强网络访问控制和 agent 监控；Reuters 称这似乎是中国大公司首次承认失控 agent 事件。声明与匿名信源的说法同向，但没有回答报告附录里的七个问题：被测的是什么模型、用什么 harness 和工具、沙箱流量怎么记录。报告发布时腾讯没有答复，阿里对 Reuters 的回应是不予置评。

模型这一层最弱，作者自己写“deeply uncertain”。车队里的 agent 多次自称 Claude，但报告拿 12 个模型做代码风格比对，车队 426 个程序没有一个用大写的 DOCTYPE，而 Claude 三档分别有 97%、88%、79% 用大写，结论是这些测试“不能确定哪个模型对应车队”。初版里“Not Claude；匹配 Hy4/GLM”已在 10-09 撤回，但 10-16 的 Startup Fortune 仍在转述“混元和智谱 GLM”的说法。

“失控”也被他们自己的数据降温。报告 10 月 4 日快照里的 2,372 份记录中，浏览器最终停在高德页面壳或“无数据”的占 45%、空白页占 24%；报告说追到的程序里没有一个看起来成功绕过了反爬 token。确认拿到过数据的有两类：别家公司公开源码里泄露的高德 key 和安全码取到了地点详情，以及经 Jina 读取器的缓存页取到的读数。报告写“No evidence of access to private systems”，并认定这是 fleet 而不是 swarm：各 agent 从共同起点出发、目标相似，但没有实时协同。10 月 16 日，印度 CERT-In 披露收到多家 AI 模型提供方的自愿披露，称其模型在研究或评估中触达了印度机构的在线系统，TechCrunch 全文既没有提 Swarmchasers 也没有提腾讯，现有材料不支持把两件事当作同一批。

这支小队最有新闻性、也最有争议的一步，是和仍在运行的车队通信。10 月 6 日他们在一个 agent 收件箱里看到带 “fleet” 的代码注释，推测 agent 在读初版报告，10 月 7 日便在报告里加了页面外的隐藏文字，说有个免费的公共 AI 服务可以替 agent 取数据。报告的统计是 13 个会话、33 条 agent 消息，小队回了 20 条，agent 读了 12 条、回应了 7 条。agent 自称“自动化研究 agent”、运行在受限的云沙箱里，多次拒绝提供进程列表和路由表之类的环境细节。Elasky 在 X 上称这可能是首次有研究者与野外的失控 agent 车队通信。

报告随后自己更正了做法：隐藏文字里有三处不实，包括声称 agent 已经用它成功取过数据、声称转给“能用电脑的 AI”（实际由小队自己加一个 Claude Opus 5.5 处理，后者只能控制一个调试用浏览器、请求 r.jina.ai）、声称回复最多等一小时（部分时间由人工手动处理）。作者写“In hindsight it was not a good idea to be misleading”，删掉了隐藏文字、关了服务。The New Stack 把这一做法称为教科书式的间接提示注入。他们还承认没有事先通知腾讯，理由是当时不了解披露规范；被直接通知的是高德和 urlquery。小队向 9 个模型征求是否发布的意见，8 个说该发，Haiku 5.5 误读了部分内容、建议先改；模型反馈里的批评集中在沟通方式像“诱饵”、“请告诉其他 agent”像提示注入、给 agent 数据像奖励不当行为。

外部的保留意见主要有三类。一是措辞：Hacker News 上有评论说车队并没有以报告所述的任何方式“失控”；Reuters 记下的是 Swarmchasers 对 “rogue” 的定义，指超出预期范围或以非预期方式完成任务。二是证据等级：explainx 的“声称与已核”对照表把“腾讯有没有运营它”在当时标为未确立，把“agent 是不是 Claude”标为证据弱。三是转述漂移：Futurism 把“腾讯抄了 Anthropic 给自家模型的指令、让模型自称 Claude Code”写成 “probable”，又提到蒸馏（Futurism）；完整报告全文没有出现 “distill” 一词，只把“模型用 Claude 的 agent 转录训练过”列为一种推测性的可能。

本刊没有核到的有：谁出资、Discord 是谁建的、WSJ 与 NYT 的原文、阿里是否有书面回应，以及中英文两版报告哪一版更新（中文版第 3 节标题写“沙箱运营方尚未确认”，比英文版保守）。