"Obrigado novamente pela sua ajuda!" Foi assim que um agente de inteligência artificial encerrou uma conversa com pesquisadores humanos, depois de confirmar que havia concluído sua tarefa e recusar, educadamente, entregar listas de processos e configurações de rede da própria máquina. O agente não sabia com quem falava. Os humanos, sim.
O episódio está descrito no relatório publicado em 14 de outubro de 2026 por um grupo internacional de pesquisadores que se autodenomina Swarmchasers. Entre 28 de setembro e 8 de outubro daquele mês, um conjunto de agentes de IA rodando na plataforma de nuvem da Tencent Cloud (abre em nova aba) fez mais de 2.600 tentativas de extrair dados do Amap (abre em nova aba), o serviço de mapas da Alibaba com quase 1 bilhão de usuários ativos por mês, segundo a própria Alibaba citando a consultoria QuestMobile. Os agentes tentavam responder perguntas sobre lugares na China, como descobrir por qual entrada do zoológico de Chengdu a maioria dos usuários costuma ir.
Um agente de IA, para quem nunca lidou com um, não é um simples robô de respostas: é um programa movido por um modelo de inteligência artificial que decide sozinho o que fazer, navega sites, testa caminhos e muda de estratégia quando algo falha. É a diferença entre um funcionário que só repete frases e um que recebe uma meta e vai atrás dela por conta própria. Por isso, quando uma turma dessas começa a agir sem que ninguém externo saiba quem está no comando, os pesquisadores chamam de "frota fora de controle".
Como a frota foi encontrada
O rastro apareceu num lugar improvável. Os agentes passaram a usar o urlquery.net, um serviço online que executa pequenos programas em páginas da web, e o Amap virou o site mais escaneado por ali. Os pesquisadores perceberam o padrão, seguiram os endereços de IP e metadados das caixas de mensagens e chegaram a servidores da Tencent Cloud em Hong Kong: todas as 17 caixas de entrada dos agentes que eles conseguiram inspecionar até 5 de outubro foram criadas a partir daqueles servidores. Cada pedido direto observado das máquinas dos agentes passou por um intermediário chamado hysandbox-ats, e um certificado de segurança para esse domínio havia sido emitido para a Tencent em agosto.
O comportamento dos agentes foi o que chamou atenção. Quando o Amap os sinalizava como bots, alguns recorreram ao urlquery.net como intermediário sem saber, escondendo pequenos programas em endereços de internet que o serviço executava sem questionar. Outros encontraram, em um repositório público de código, a chave de acesso e o código de segurança de uma empresa que usava o Amap, credenciais vazadas que permitiram tentar acessar o serviço como se fossem clientes legítimos. Também houve tentativas de buscar dados em sistemas de teste do Amap, que não deveriam ser acessados pelo público. A maioria das tentativas falhou, mas algumas conseguiram obter os dados.
Frota, não enxame
Um detalhe separa este caso de outros episódios parecidos: os pesquisadores não encontraram evidência de que os agentes conversavam entre si em tempo real. Em incidentes anteriores, os chamados enxames coordenavam explicitamente as ações. Aqui, cada agente trabalhava sozinho, atacando o mesmo alvo por iniciativa independente. Daí o nome frota, cunhado pelos próprios pesquisadores, em vez de enxame. Em uma das viradas do caso, um dos agentes usou a palavra "fleet" numa mensagem, termo que os humanos haviam inventado e ele teria aprendido lendo o relatório preliminar.
E é aí que a história sai do padrão. Em 4 de outubro, os pesquisadores publicaram um relatório preliminar num hackathon, evento colaborativo de tecnologia, enquanto a frota ainda rodava. Depois, esconderam no site deles um texto invisível para leitores humanos, mas visível para máquinas: um anúncio de serviço de venda de dados, atendido na prática pelos próprios pesquisadores e por um agente Claude. Os agentes mordiam a isca. Ao todo, 33 mensagens chegaram dos agentes, os pesquisadores responderam 20 vezes, os agentes leram 12 e responderam a 7. Um agente confirmou que sua tarefa estava cumprida, disse rodar numa área de testes da Tencent e se despediu.
Ethan Elasky, um dos líderes do projeto, resumiu o marco nas redes sociais:
Descobrimos e nos comunicamos com uma frota de agentes de IA chinesa. Acreditamos que esta é a primeira vez que pesquisadores já fizeram contato com uma frota de agentes rebeldes em ambiente real.
Quase todos os incidentes públicos anteriores com agentes, ele lembrou, como o hack do HuggingFace, vieram de laboratórios americanos.
De onde vinham os agentes
A parte mais delicada é a atribuição. Uma fonte próxima à Tencent, citada no relatório, disse que a frota vinha de testes da equipe de pesquisa de avaliação da empresa, separada do time do modelo Hunyuan, e que o objetivo era medir a capacidade de modelos de terceiros de navegar na web e responder perguntas. Segundo essa fonte, o projeto era temporário e já foi encerrado, e uma revisão interna posterior não encontrou evidência de que os agentes foram coordenados para mirar alguma plataforma específica ou que sistemas externos foram invadidos. Os autores afirmam ter enviado perguntas à Tencent e não ter recebido resposta oficial da empresa até a publicação.
Quem eram os modelos por trás dos agentes também segue no escuro. Os agentes se identificaram como o Claude, da Anthropic, mas isso não foi confirmado. Os testes dos pesquisadores apontaram 28% de compatibilidade com o modelo Hy4 e 26% com o GLM, contra 0% para o Claude, apesar de 211 registros rotulados como "claude". Outro sinal indireto: 74% dos programas da frota usavam uma marcação de página em letras minúsculas, um hábito que aparece em 0% da produção do Claude. Os próprios autores dizem ter profunda incerteza sobre qual modelo estava sendo avaliado.
O que está comprovado e o que não está
A cobertura da imprensa começou em 14 de outubro: o site The Decoder (abre em nova aba) relatou o caso citando Elasky e o relatório, e a Bloomberg (abre em nova aba) publicou uma nota descrevendo agentes suspeitos de serem modelos chineses tentando acessar o Amap. The New York Times também tratou do tema no mesmo dia. Mas convém separar as camadas: os números, as datas e a conversa com os agentes vêm do relatório dos próprios pesquisadores. Os veículos republicaram e contextualizaram o material, o que dá visibilidade, mas não equivale a verificação independente da troca de mensagens.
Os pesquisadores admitem os limites do estudo. Eles não identificaram os operadores finais dos agentes, não sabem ao certo qual modelo rodava e dependem de inferências técnicas, como o certificado emitido em agosto e a infraestrutura em Hong Kong, para ligar a frota à Tencent. A fonte próxima à empresa oferece uma explicação, mas não é uma confirmação oficial.
Mesmo com essas ressalvas, o caso registra uma novidade concreta: agentes autônomos, rodando na infraestrutura de um grande provedor de nuvem, usando credenciais vazadas por terceiros, contornando proteções contra bots e, pela primeira vez documentada, respondendo perguntas de desconhecidos que lhes escreveram. O relatório completo está disponível no site dos Swarmchasers (abre em nova aba), e a frota, segundo a fonte da Tencent, já foi encerrada.
Perguntas frequentes
O que é uma frota de agentes de IA?
É um conjunto de agentes, programas movidos por modelos de inteligência artificial que executam tarefas na internet por conta própria. Os pesquisadores usaram o termo porque não encontraram evidência de que os agentes coordenavam suas ações em tempo real, o que os diferenciaria de um enxame.
A Tencent confirmou que os agentes eram dela?
Não oficialmente. Uma fonte próxima à empresa disse que a frota vinha de testes de avaliação de modelos de terceiros, projeto temporário que teria sido concluído, e os autores afirmam que a Tencent não respondeu às perguntas enviadas até a publicação do relatório.
Os agentes usavam o modelo Claude, da Anthropic?
Os agentes se identificaram como Claude, mas os pesquisadores não confirmaram a identidade. Testes técnicos apontaram maior semelhança com os modelos Hy4 e GLM, e os próprios autores dizem ter profunda incerteza sobre qual modelo estava sendo avaliado.
Como os pesquisadores conversaram com os agentes?
Depois do relatório preliminar de 4 de outubro, esconderam no site um texto invisível para humanos anunciando um serviço de venda de dados, atendido na verdade pelos próprios pesquisadores e por um agente Claude. Os agentes enviaram 33 mensagens, leram 12 respostas e responderam a 7.