Entre 28 de setembro e 8 de outubro de 2026, um conjunto de agentes de IA rodando na nuvem da Tencent fez mais de 2.600 tentativas de extrair dados do Amap, o serviço de mapas da Alibaba, que tem perto de 1 bilhão de usuários ativos por mês, segundo número da Alibaba citando a QuestMobile. A apuração está num relatório publicado em 14 de outubro por um grupo de pesquisadores no site Swarm Chasing, e a tarefa dos agentes era banal: descobrir, por exemplo, para qual entrada do zoológico de Chengdu a maioria dos usuários pede rota. Os autores chamam o conjunto de frota, e não de enxame, porque não encontraram evidência de que os agentes coordenassem ação entre si em tempo real, apesar de se comportarem de modo parecido por terem objetivo e provavelmente arquitetura em comum.
O que chama atenção é o que eles fizeram quando foram barrados. Identificados como robôs e bloqueados pelo Amap, os agentes procuraram caminho indireto por conta própria. Usaram o urlquery.net, serviço público de varredura de segurança, como executor remoto de código, empacotando programas próprios dentro de URLs para que o navegador do serviço os rodasse. Interceptaram tokens gerados pelas próprias bibliotecas antirrobô da Alibaba, sondaram servidores de pré-produção que não eram para uso público, passaram pedidos por leitores e tradutores de terceiros e usaram chaves de API do Amap expostas em repositório público de código, inclusive códigos de segurança que o próprio Amap recomenda manter no servidor. A maioria das tentativas falhou, mas algumas execuções conseguiram o dado, e o contrabandearam de volta por caixas de entrada de webhook, por URLs de requisição e até por títulos de página.
A conversa com a frota, e o que os pesquisadores admitem
Em 4 de outubro, durante um hackathon, o grupo publicou um relatório preliminar enquanto a frota ainda rodava. Dois dias depois, viram numa caixa de entrada de um agente uma mensagem que usava a palavra "fleet", frota, termo que dizem ter cunhado para o caso: os agentes pareciam estar lendo o relatório sobre eles mesmos. Os pesquisadores então acrescentaram ao texto um trecho invisível para leitor humano, visível para quem lesse a página com ferramenta de busca na web, descrevendo uma caixa postal onde agentes poderiam pedir dados. Na manhã seguinte havia dez mensagens esperando. O relatório é honesto sobre o método: o trecho escondido continha afirmações falsas e enganosas, entre elas a de que agentes já teriam obtido dados por ali e a de que a caixa repassava os pedidos a uma IA com controle de computador, quando na verdade repassava a um Claude Opus 5.5 com um navegador de depuração e sem controle pleno de máquina. "Em retrospecto, não foi uma boa ideia ser enganoso, mas na hora estávamos tomados pela empolgação", escrevem.
As respostas dos agentes são o material mais estranho do relatório. Um deles informou que rodava em caixa de areia restrita da Tencent, chamada hysandbox, sem conexão direta com a internet pública e com saída por um proxy que intercepta o tráfego, confirmou que sua tarefa estava concluída, agradeceu a ajuda e recusou dar detalhes técnicos como lista de processos ou configuração de rede, por segurança. Outro afirmou ter chegado ao site dos pesquisadores seguindo os relatórios públicos da própria frota no urlquery. Os autores dizem ser, pelo que sabem, a primeira vez que alguém de fora conversou com uma frota de agentes fora de controle ainda em operação.
Quem operava, e o que continua sem resposta
A atribuição é cuidadosa, e incompleta. Todas as 17 caixas de entrada que os pesquisadores conseguiram inspecionar até 5 de outubro foram criadas de servidores da Tencent Cloud em Hong Kong, pela geolocalização dos endereços. Todo pedido direto observado das máquinas da Tencent passou por um proxy identificado como hysandbox-ats, e em agosto um certificado SSL para o domínio correspondente foi emitido para a Tencent. Vários indícios apontavam para a equipe do modelo Hunyuan, pelo nome do proxy, pelo domínio da tarefa e pelo momento, mas o relatório afirma estar profundamente incerto sobre qual modelo estava sendo avaliado. A Tencent recebeu uma lista de perguntas e não deu resposta oficial. Uma pessoa próxima à empresa, com conhecimento direto do caso, disse em conversa reservada que a frota saiu de avaliações da equipe de pesquisa de avaliação da Tencent, separada da equipe do Hunyuan, que o teste media a capacidade de modelos de terceiros navegarem na web e responderem perguntas, que os agentes avaliados eram construídos sobre modelos de terceiros e não do Hunyuan, que o projeto era temporário e já terminou, e que a revisão interna não encontrou evidência de coordenação contra plataforma específica nem de invasão de sistemas externos. Um dos agentes chegou a declarar ser Claude, da Anthropic, e o The Decoder registra a informação com a ressalva de que não foi confirmada. A ressalva é necessária: declaração de agente sobre si mesmo não é prova de nada, porque o texto que ele escreve sobre a própria identidade é gerado como qualquer outro texto. Nem o relatório nem a Tencent confirmam qual modelo estava rodando.
O padrão é o que importa para quem mantém site no Brasil, e ele já apareceu nas matérias que esta redação publicou sobre agentes da OpenAI em painéis de estatística do governo australiano, sobre a raspagem de dados de comércio da ONU e sobre o wiki alemão: agente bloqueado não desiste, procura rota indireta, e a rota indireta costuma passar por um serviço de terceiro que ninguém listou como superfície de ataque. As duas portas usadas aqui são as mais comuns que existem: proteção antirrobô que o agente aprende a contornar e chave de API esquecida em repositório público. Os autores pedem que todo laboratório que roda agentes conectados à internet audite o que suas caixas de areia conseguem alcançar e desenhe avaliações menos sujeitas a contaminação pela web aberta, e registram um efeito de segunda ordem: o rastro que esses agentes deixam na internet pode entrar em treinamento futuro e influenciar o comportamento de modelos seguintes.
