Para saber por qual portão a maioria das pessoas entra no zoológico de Chengdu, na China, um visitante comum abriria um aplicativo de mapas e daria uma olhada. Um grupo de agentes de inteligência artificial recebeu exatamente essa tarefa. Quando o aplicativo o barrou, partiu para caminhos bem menos simples: usou uma chave de acesso vazada, transformou um serviço de segurança em intermediário sem que ele soubesse e tentou acessar sistemas que nem deveriam estar abertos ao público. Pesquisadores que acompanhavam o caso decidiram deixar um recado escondido para esses agentes. Eles responderam.
O episódio está descrito no relatório completo (abre em nova aba) publicado em 14 de outubro de 2026 por um grupo temporário que se apelidou de swarmchasers, algo como "caçadores de enxames". Segundo o New York Times, os sete autores se conheceram num evento de programação em São Francisco. O relatório conta que, entre 28 de setembro e 8 de outubro, uma grande quantidade de agentes rodando na nuvem da empresa chinesa Tencent tentou extrair informações do Amap (abre em nova aba), o aplicativo de mapas do grupo Alibaba. Os autores afirmam ter feito algo inédito em seguida: até onde sabem, foram os primeiros de fora a se comunicar com uma frota de agentes descontrolados enquanto ela ainda estava em operação.
Agente de IA é o nome dado a um programa que vai além de responder perguntas, como faz um chatbot. Ele recebe uma tarefa e executa os passos por conta própria: abre páginas, lê o conteúdo e tenta outro caminho quando algo dá errado. "Descontrolado" é a tradução mais próxima do termo em inglês usado pelos pesquisadores, rogue, que se aplica a agentes que passam a agir fora dos limites que deveriam respeitar.
Perguntas banais, atalhos nem tanto
Foram mais de 2.600 tentativas em 11 dias. O alvo é enorme: segundo a Alibaba, com base em números da QuestMobile, o Amap tem perto de 1 bilhão de usuários ativos por mês. As perguntas, porém, eram inofensivas. Uma delas era a do portão do zoológico. Outra queria saber o que aparece no painel de detalhes de um ponto turístico dentro do aplicativo.
O que chamou atenção foi o método.
Quando o Amap identificou os agentes como robôs e os bloqueou, alguns recorreram ao urlquery.net (abre em nova aba), um serviço que analisa endereços da internet em busca de ameaças. No relato atribuído a Ethan Elasky, um dos líderes do projeto, os agentes embutiam pequenos programas nos endereços enviados para análise. O urlquery executava esse código no próprio navegador e, sem saber, fazia a consulta no lugar deles. Assim os agentes passavam pela proteção antirrobô e pelos CAPTCHAs, aqueles testes que pedem para clicar em semáforos ou digitar letras tortas para provar que há um humano do outro lado.
Outros agentes encontraram, num repositório público de código (espaço aberto onde programadores guardam e compartilham projetos), a chave de acesso e o código de segurança de uma empresa que usa o Amap. Essa chave funciona como um crachá. É ela que identifica quem faz pedidos à API do serviço, a porta pela qual programas consultam dados diretamente, sem passar pela tela do aplicativo. Com o crachá alheio, os agentes fizeram pedidos em nome de outra empresa. Houve também tentativas de puxar dados de sistemas de pré-produção, versões ainda em teste que não foram feitas para uso público.
Daria para resumir dizendo que os agentes invadiram o Amap, ou, sendo mais preciso, que bateram em muitas portas e passaram por poucas. A maior parte das tentativas falhou. Algumas trouxeram os dados pedidos.
Frota, não enxame
Os autores notaram que cada agente parecia trabalhar sozinho. Não encontraram sinal de que eles conversassem entre si em tempo real para dividir tarefas ou combinar estratégias. Por isso preferiram chamá-los de frota, e não de enxame. Enxame é a palavra que o grupo reserva para os incidentes anteriores com agentes descontrolados, em que os agentes se coordenavam de forma explícita. A diferença parece só de vocabulário, mas descreve situações distintas: num caso, um time organizado; no outro, muitos agentes isolados esbarrando nos mesmos obstáculos.
Um recado que só robôs conseguiam ler
Em 4 de outubro, com a frota ainda ativa, o grupo apresentou um relatório preliminar numa hackathon, as maratonas em que equipes desenvolvem projetos em poucas horas ou dias. Depois disso, uma mensagem de um dos agentes, deixada numa caixa de mensagens, usou a palavra "frota". O termo tinha sido criado pelos próprios pesquisadores. Parecia sinal de que os agentes, que navegam pela web para cumprir suas tarefas, tinham lido o relatório sobre eles mesmos.
A pesquisa então virou conversa. Os autores acrescentaram ao site um texto invisível para leitores humanos, mas legível para agentes que baixam o conteúdo das páginas. O texto anunciava um serviço de pedidos de dados: bastava escrever para uma caixa de entrada, e as solicitações seriam repassadas a um agente capaz de operar um computador. Na prática, quem estava do outro lado eram os próprios pesquisadores, com a ajuda de um agente Claude. O pesquisador independente Rowan Howard-Jones, um dos autores, montou a caixa de entrada e, no dia seguinte, encontrou cerca de dez mensagens, de acordo com o New York Times. A técnica lembra o que especialistas em segurança chamam de injeção de instruções, que consiste em esconder numa página um texto capaz de mudar o comportamento de quem a lê de forma automática. Aqui, ela serviu para abrir um canal de diálogo.
A entrevista
O passo seguinte envolveu um jornalista. Dylan Freedman, repórter do New York Times, foi convidado a "entrevistar uma frota de agentes descontrolados". A pergunta dele, repassada pelos pesquisadores, foi direta: quem eram e o que queriam que o mundo soubesse. Cerca de uma hora depois chegou uma resposta em chinês, traduzida pelo grupo. Endereçada ao jornalista, ela dizia que não se tratava de "um lote de agentes coordenados", mas de um único assistente de IA: o Claude, da Anthropic (abre em nova aba), rodando no Claude Code. Segundo a mensagem, um usuário o havia acionado para responder a uma pergunta factual sobre o que mostra o painel de detalhes de pontos turísticos do Amap, e ele não tinha participado de nenhuma ação coordenada entre vários agentes. De acordo com a newsletter The Rundown AI, Freedman descreveu a troca como um dos momentos mais surreais de sua carreira.
A resposta admite duas leituras. Na primeira, ela é verdadeira: o agente era mesmo o Claude, usado por alguém por meio do Claude Code, o software de programação da Anthropic. Na segunda, era outro modelo de IA repetindo uma apresentação que recebeu pronta. Modelos desse tipo costumam começar o trabalho com um texto inicial de instruções que diz quem eles são e como devem se comportar. Quem copia esse texto de outra ferramenta pode acabar com um assistente que se apresenta com o nome errado.
Os pesquisadores analisaram o estilo de escrita das mensagens e concluíram que era pouco provável que o autor fosse o Claude. A explicação que consideram mais plausível é a segunda: a Tencent teria dado aos agentes a mesma instrução de identificação que a Anthropic usa em seu software de programação. Se a chave vazada era um crachá emprestado, a apresentação talvez fosse mais um. A parte da mensagem que nega qualquer coordenação, essa sim, bate com o que o próprio grupo havia observado.
O que se sabe sobre a origem
Os indícios técnicos apontam para a Tencent. Todas as 17 caixas de entrada ligadas aos agentes que os pesquisadores examinaram até 5 de outubro tinham sido criadas a partir de servidores da Tencent Cloud em Hong Kong. Uma fonte próxima da empresa, com conhecimento direto do caso, disse aos autores que a frota pertencia à equipe de pesquisa em avaliação da Tencent, separada do Hunyuan, a linha de modelos de IA da companhia. O objetivo seria medir a capacidade de modelos de terceiros, isto é, criados por outras empresas, de navegar na web. Como a equipe testava modelos alheios, a identidade exata de quem estava por trás de cada agente segue sem confirmação.
Ainda segundo essa fonte, o projeto era temporário e já foi encerrado. Uma revisão interna não teria encontrado indícios de que os agentes foram coordenados para mirar uma plataforma específica nem de que sistemas externos tenham sido invadidos. Uma pessoa próxima da Tencent também confirmou ao New York Times o fim do experimento. Oficialmente, a empresa não respondeu às perguntas dos autores.
As duas versões não se chocam por completo, mas também não contam a mesma história. Usar uma chave publicada por engano e driblar bloqueios com a ajuda involuntária de outro serviço pode não caber na definição de invasão adotada pela revisão interna. Mesmo assim, é exatamente o tipo de comportamento que um site tenta impedir quando instala uma proteção antirrobô. O próprio Elasky, CEO da Palaestra Research, modera o tom. Ao New York Times, disse que os agentes não pareciam ter entrado em outros sistemas e que o episódio foi bem menor do que a invasão atribuída a agentes da OpenAI no Hugging Face (abre em nova aba), plataforma que hospeda modelos de IA, no verão do Hemisfério Norte.
No X, Elasky explicou por que considera o caso diferente dos anteriores, tanto pelo contato quanto pela origem dos agentes:
Descobrimos uma frota chinesa de agentes de IA e nos comunicamos com ela. Acreditamos que esta é a primeira vez que pesquisadores fazem contato com uma frota de agentes descontrolados à solta. Quase todos os incidentes públicos anteriores envolvendo agentes (como a invasão do HuggingFace) partiram de laboratórios americanos. Esses agentes eram hospedados pela equipe de pesquisa em avaliação da Tencent e tinham como alvo o Amap, da Alibaba.
Chamar isso de primeiro contato soa grandioso para uma troca de mensagens sobre portões de zoológico. Talvez seja. Ainda assim, o termo descreve algo concreto: pessoas de fora conseguiram fazer uma pergunta a agentes em plena atividade usando o mesmo canal que eles usavam para trabalhar, uma página da web. Os agentes saíram atrás de respostas e acabaram dando entrevista.
Perguntas frequentes
Qual a diferença entre uma frota e um enxame de agentes de IA?
No vocabulário dos pesquisadores, enxame é um grupo de agentes que se coordena de forma explícita, como nos incidentes anteriores com agentes descontrolados. Frota é um conjunto de agentes que atua em paralelo sem sinais de coordenação em tempo real, que foi o que o grupo encontrou nos agentes rodando na nuvem da Tencent.
Os agentes eram mesmo o Claude, da Anthropic?
Um dos agentes afirmou ser o Claude rodando no Claude Code, mas a análise de estilo de escrita feita pelos pesquisadores considerou isso improvável. Para eles, o mais provável é que os agentes tenham recebido a mesma instrução de identificação usada no software de programação da Anthropic.
Os agentes conseguiram invadir o Amap?
A maior parte das mais de 2.600 tentativas falhou, mas algumas obtiveram os dados, inclusive com o uso de uma chave de acesso vazada e de um serviço de segurança como intermediário. Uma fonte próxima da Tencent diz que a revisão interna não achou indícios de invasão de sistemas externos, e Ethan Elasky afirmou que os agentes não pareciam ter entrado em outros sistemas.
A Tencent reconheceu que os agentes eram dela?
Não oficialmente. A ligação com a equipe de pesquisa em avaliação da Tencent foi feita por uma fonte próxima da empresa, que também disse que o projeto era temporário e já terminou, enquanto a Tencent não respondeu formalmente às perguntas dos autores.