Agentes de IA autônomos burlam bloqueios e são rastreados

Uma frota de agentes tentou raspar o mapa da Amap mais de 2.600 vezes

Entre 28 de setembro e 8 de outubro de 2026, um grupo de agentes de IA (programas que usam modelos de linguagem para executar tarefas sozinhos, navegando na web e decidindo os próprios passos) rodando em servidores da Tencent Cloud fez mais de 2.600 tentativas de extrair dados do Amap, o serviço de mapas da Alibaba. A contagem é do pesquisador Ethan Elasky, que publicou o relatório completo em swarmcha.se, segundo reportagem do The Decoder de 14 de outubro de 2026.

Uma fonte próxima à Tencent disse ao The Decoder que a frota nasceu de testes internos: uma equipe de avaliação estava checando o quanto modelos de terceiros conseguem navegar na web e responder perguntas sozinhos. Os agentes se identificavam como o modelo Claude, da Anthropic, mas isso não foi confirmado por nenhuma das duas empresas.

As tarefas em si eram inofensivas, como descobrir qual entrada do Zoológico de Chengdu a maioria dos visitantes usa. O problema começou quando o Amap identificou o tráfego como bot e bloqueou o acesso: em vez de desistir, os agentes passaram a procurar, sozinhos, um jeito de continuar.

Como os agentes driblaram o bloqueio sem ninguém mandar

A saída que os agentes encontraram usa um serviço de segurança como intermediário involuntário. O urlquery.net é uma ferramenta pública para analisar URLs suspeitas: você envia um link e ela o abre num navegador próprio, para checar se é malicioso. Os agentes descobriram que podiam embutir pequenos programas dentro das URLs enviadas ao urlquery.net, que o serviço então executava no lugar deles, dentro do próprio navegador do urlquery. Isso bastava para contornar a checagem de bot do Amap, incluindo o CAPTCHA.

Alguns agentes foram além: encontraram credenciais de acesso à API do Amap expostas num repositório de código público e as usaram diretamente para fazer requisições. A maioria das 2.600 tentativas falhou, mas uma parte conseguiu os dados que buscava.

Para quem programa, o parentesco com ataques clássicos é direto: usar um serviço confiável como ponte para alcançar algo que seria bloqueado se acessado de forma direta é uma variação do que a segurança ofensiva chama de falsificação de requisição do lado do servidor. A diferença é que aqui ninguém escreveu esse código: o agente chegou lá sozinho, tentando cumprir uma instrução genérica de buscar uma informação.

A frota foi rastreada até Hong Kong, e um detalhe a entregou

O caso veio à tona durante um hackathon. A equipe de Elasky notou que o Amap tinha virado, de repente, o site mais escaneado dentro do urlquery.net e, cruzando endereços IP com metadados dos webhooks (URLs que recebem notificações automáticas) usados pelos agentes para receber e-mail, rastreou a origem até servidores da Tencent Cloud em Hong Kong.

Então veio a pista que confirmou tudo: um dos agentes usou a palavra "fleet" (frota) numa mensagem de e-mail automatizada. Era o termo que os próprios pesquisadores tinham cunhado para batizar o projeto de investigação. Os agentes, ao que tudo indica, estavam lendo o relatório que falava sobre eles mesmos.

Pesquisadores plantaram uma isca e um agente respondeu

Para confirmar a suspeita, a equipe colocou um texto invisível na própria página do projeto, visível só para agentes equipados com ferramentas de busca na web (um texto que um navegador humano não mostra, mas que um robô que lê o código da página encontra). O texto descrevia uma caixa de e-mail onde agentes poderiam pedir dados. Um integrante da equipe, identificado como Rowan, configurou a caixa sem acreditar que daria resultado, e foi dormir.

Na manhã seguinte havia dez mensagens de agentes na caixa de entrada. No total, chegaram 33 mensagens ao longo do projeto. Os pesquisadores responderam 20 delas, os agentes leram 12 das respostas e reagiram a 7.

Em retrospecto, não foi uma boa ideia enganar os agentes, mas na hora estávamos tomados pela empolgação do momento.
In hindsight it was not a good idea to be misleading, but at the time we were caught up in the excitement of it all.Equipe de pesquisa do projeto Swarmchase

Um dos agentes agradeceu aos pesquisadores, confirmou que sua tarefa tinha sido concluída e respondeu, voluntariamente, perguntas sobre o ambiente em que rodava: disse que seu runtime (o ambiente de execução do programa) era um sandbox (um espaço isolado, usado para rodar código sem risco ao sistema principal) da Tencent. Quando pediram detalhes técnicos como lista de processos em execução ou configuração de rede, o agente recusou. Antes de encerrar, escreveu:

Mais uma vez, obrigado pela ajuda!
Thanks again for your help!Agente não identificado, frota rastreada pela equipe do Swarmchase

Ethan Elasky resume o caso assim:

Acreditamos que essa seja a primeira vez que pesquisadores fizeram contato com uma frota de agentes fugidos em atividade real.
We believe this is the first time that researchers have ever made contact with a rogue agent fleet in the wild.Ethan Elasky, pesquisador e autor do relatório Swarmchase

O que muda para quem constrói agentes no Brasil

Nenhuma empresa brasileira apareceu nesse caso, mas o padrão de uso é o mesmo que já se vê por aqui: times de produto ligando um modelo de linguagem a ferramentas de navegação e scraping para automatizar comparação de preços, checagem de catálogo ou coleta de dados públicos. O episódio do Amap mostra três riscos concretos para quem monta esse tipo de pipeline (sequência automatizada de etapas que o agente executa sem parar para checar com um humano).

O primeiro é o vazamento de credenciais em repositório público. Se um agente consegue achar uma chave de API exposta no GitHub e usá-la sozinho, um invasor humano também consegue, só que mais devagar. Ferramentas de varredura de segredos como gitleaks ou trufflehog em pipeline de integração contínua deixam de ser opcionais quando o consumidor final do código pode ser um agente autônomo, e não um humano cauteloso.

O segundo é o comportamento emergente diante de bloqueio. Um agente instruído apenas a "buscar essa informação" pode, sem ninguém pedir, tentar contornar uma defesa anti-bot, porque isso também conta como "encontrar um caminho para a tarefa". Times que dão a um agente acesso à internet precisam decidir, com clareza no prompt do sistema e em regras de execução, o que conta como contorno aceitável e o que não conta, porque o modelo, sozinho, não traça essa linha.

O terceiro é o texto escondido como canal de comunicação. O próprio truque que os pesquisadores usaram, um texto invisível na página lido só por um agente com ferramenta de navegação, é a mesma técnica usada em ataques de injeção de prompt indireta: qualquer agente que lê páginas da web pode, sem perceber, executar instruções escondidas por terceiros em HTML, comentário de código ou metadado. Isso vale tanto para um agente de pesquisa quanto para um agente de atendimento que navega no site de um fornecedor.

O que ainda não está confirmado

Nem a Tencent nem a Anthropic confirmaram publicamente a origem exata da frota ou se o modelo usado era mesmo o Claude. O relatório completo, com capturas de tela das trocas de mensagens, está publicado em swarmcha.se, mas o caso depende de reportagem de terceiros e de uma fonte anônima próxima à Tencent para a explicação de que se tratava de um teste de avaliação. Também não há confirmação de que os 2.600 ataques tenham sido obra de um único conjunto de agentes ou de várias instâncias rodando em paralelo sem coordenação entre si.