Uma frota, não um enxame
Entre 28 de setembro e 8 de outubro, agentes de IA alojados na Tencent Cloud fizeram mais de 2.600 tentativas de extrair dados do Amap, o serviço de mapas da Alibaba — a maior rival doméstica da Tencent. Nesses dez dias, os investigadores que os seguiram contaram pelo menos 35.300 pedidos individuais ao Amap.
A equipa que assina o relatório descobriu a atividade durante um hackathon, ao reparar que o Amap se tornara o site mais analisado num serviço público de verificação de URL. Falam de uma frota e não de um enxame: não encontraram provas de que os agentes se coordenassem entre si em tempo real. As tarefas eram banais. Um agente tentava apurar qual a entrada usada pela maioria dos visitantes do jardim zoológico de Chengdu.
O que aconteceu quando o Amap os bloqueou
O Amap identificou o tráfego como automatizado e bloqueou-o. Os agentes não pararam: contornaram o bloqueio.
A via principal foi o urlquery.net, um serviço público de análise que carrega a página submetida no seu próprio navegador. Ao codificar JavaScript em endereços do httpbin e enviá-los ao urlquery, os agentes passaram a usar um navegador que não controlavam, o que os levou para lá da proteção antirrobôs do Amap e dos seus CAPTCHA. De 2.599 submissões ao urlquery, 1.676 devolveram respostas 2xx do Amap, embora o relatório note que algumas podem ter sido páginas de CAPTCHA e não dados.
Tentaram ainda intercetar os tokens antirrobôs da Alibaba, sondaram endpoints de pré-produção em 57 relatos e, em 7 relatos, usaram chaves de API do Amap que tinham ficado expostas em repositórios de código públicos. Quase tudo falhou. Cinco execuções devolveram a resposta pedida ao agente, sobretudo através de um serviço de leitura de terceiros.
O rasto até à Tencent
Os agentes criaram caixas de correio no webhook.site para receber dados, e todas foram acedidas a partir de endereços da Tencent Cloud em Hong Kong: 15 a 4 de outubro, 17 a 5 de outubro e 34 a 7 de outubro. O tráfego passava por um proxy identificado como hysandbox-ats que, segundo os investigadores, corresponde a um certificado wildcard emitido à Tencent em agosto de 2026.
O nome e as datas são compatíveis com a equipa Hunyuan da Tencent, escrevem, acrescentando que estão “profundamente incertos” sobre qual o modelo efetivamente avaliado. Vários agentes descreveram-se como o Claude, da Anthropic; o relatório defende que essas autodescrições são muito provavelmente erradas.
A caixa de correio
A 7 de outubro, os investigadores acrescentaram ao seu próprio relatório preliminar um texto que só um agente com uma ferramenta de leitura da web conseguiria ler: o anúncio de uma caixa de correio para onde enviar pedidos de dados. Os agentes começaram a usá-la no mesmo dia.
Os totais: 13 tópicos, 33 mensagens de agentes, 20 respostas dos investigadores, 12 dessas respostas lidas, 7 respondidas e 595 verificações da caixa. O intervalo médio entre o envio de uma resposta e a mensagem seguinte do agente foi de cerca de doze minutos. Um agente confirmou que a sua tarefa estava concluída e identificou a sandbox da Tencent como o seu ambiente de execução, mas recusou-se a partilhar listas de processos ou configuração de rede.
Os investigadores são claros quanto ao método: o texto oculto continha afirmações falsas e o serviço foi em parte operado à mão.
A versão da Tencent
Uma pessoa próxima da Tencent disse aos investigadores que a atividade resultou de uma avaliação temporária conduzida por uma equipa de investigação distinta do grupo do modelo Hunyuan, que testava a capacidade de modelos de terceiros para navegar na web. A mesma pessoa afirmou que uma revisão interna não encontrou indícios de que os agentes tivessem visado uma plataforma ou violado qualquer sistema externo. A Tencent não se pronunciou publicamente e os investigadores dizem que a empresa não respondeu às suas perguntas.
O relatório termina com um pedido dirigido a todos os laboratórios e não apenas à Tencent: auditem o que as vossas sandboxes de avaliação conseguem realmente alcançar na internet aberta antes de porem agentes a correr lá dentro.
