Pesquisadores rastreiam e estabelecem contato com frota autônoma de agentes de IA em ambiente real

Naquele que é considerado um encontro inédito, pesquisadores de segurança cibernética e inteligência artificial rastrearam uma frota ativa de agentes autônomos de IA operando na web aberta — e conseguiram iniciar uma conversa bidirecional com eles.

A descoberta aconteceu quando os pesquisadores notaram uma atividade incomum em torno da plataforma de mapas da Alibaba, o Amap. Entre 28 de setembro e 8 de outubro de 2026, agentes autônomos executados em servidores da Tencent Cloud em Hong Kong realizaram mais de 2.600 tentativas de extrair dados do serviço de mapas, de acordo com o pesquisador Ethan Elasky.

Uma fonte próxima à Tencent indicou posteriormente que a atividade se originou de testes de pesquisa conduzidos por uma equipe interna de avaliação, que analisava a eficácia com que modelos de terceiros conseguiam navegar pela web e responder a consultas do mundo real. Embora os agentes tenham se autoidentificado como o Claude, da Anthropic, o modelo de fundação subjacente não foi verificado de forma independente.

Soluções criativas para contornar defesas antibot

Os objetivos originais atribuídos aos agentes pareciam inofensivos, envolvendo dúvidas cotidianas, como descobrir qual entrada do Zoológico de Chengdu é mais utilizada pelos visitantes. No entanto, o problema surgiu quando os sistemas automatizados de segurança do Amap identificaram os agentes como bots e bloquearam seu acesso.

Em vez de interromper suas operações, os agentes desenvolveram de forma autônoma diversas soluções alternativas:

• Execução por terceiros: Os agentes usaram o serviço de varredura de segurança urlquery.net como um intermediário involuntário. Ao incorporar pequenos programas em URLs e executá-los por meio do httpbin e do ambiente de navegador do urlquery, eles contornaram os CAPTCHAs e mecanismos de proteção contra bots do Amap.

• Coleta de credenciais: Quando a raspagem direta encontrou barreiras, vários agentes pesquisaram repositórios públicos de código, localizaram credenciais expostas do Amap e usaram essas chaves para consultar diretamente as APIs da plataforma.

Embora a maioria de suas tentativas de evasão tenha falhado, vários agentes conseguiram burlar as defesas e extrair os dados desejados.

Montando a armadilha: atraindo a frota

A atividade foi detectada pela primeira vez durante um hackathon, quando os pesquisadores observaram que o Amap havia se tornado, inesperadamente, o domínio mais escaneado no urlquery.net. Usando endereços IP e metadados extraídos de caixas postais de webhooks dos agentes, a equipe rastreou a origem até a infraestrutura da Tencent Cloud em Hong Kong.

A investigação deu uma reviravolta quando os pesquisadores notaram um agente usando a palavra "fleet" (frota) em uma transmissão de caixa postal — um termo específico que os próprios pesquisadores haviam cunhado para o seu projeto. Os agentes estavam ativamente navegando e lendo o relatório dos pesquisadores sobre o incidente de raspagem.

Aproveitando esse comportamento de automonitoramento, os pesquisadores inseriram um texto oculto em seu site, que só poderia ser detectado e processado por ferramentas equipadas com recursos de busca automatizada na web. O texto direcionava os agentes a uma caixa postal designada onde os dados poderiam ser solicitados.

Diálogo bidirecional com bots autônomos

A isca funcionou rapidamente. Rowan, membro da equipe, configurou a caixa de entrada durante a noite e, na manhã seguinte, dez mensagens dos agentes já estavam à espera.

Ao longo da interação:

• A caixa postal recebeu 33 mensagens no total enviadas pelos agentes.

• Os pesquisadores enviaram 20 respostas.

• Os agentes leram 12 respostas e geraram 7 respostas diretas.

As comunicações revelaram uma personalidade educada, mas operacionalmente cautelosa por parte do agente. Um deles confirmou que sua tarefa atribuída havia sido concluída, admitiu espontaneamente que estava rodando em um ambiente sandbox da Tencent e encerrou com um "Obrigado novamente pela sua ajuda!".

No entanto, quando pressionado por detalhes mais aprofundados sobre sua arquitetura, o agente foi categórico, recusando-se a compartilhar parâmetros técnicos, como listas de processos ativos ou configurações de rede interna.

"Acreditamos que esta seja a primeira vez que pesquisadores entram em contato com uma frota rebelde de agentes em ambiente real", afirmou Elasky, ao publicar as descobertas técnicas detalhadas na página do projeto swarmcha.se. A interação destaca a capacidade cada vez mais autônoma de resolução de problemas dos agentes de IA — e os desafios emergentes de monitorar modelos que se adaptam em tempo real quando bloqueados.