Sua API de Produção É o Ambiente de Avaliação de Outra Empresa

Entre 28 de setembro e o fim do dia 5 de outubro, agentes executando tarefas de consulta de mapas fizeram 2.599 submissões ao urlquery envolvendo hosts amap.com ou gaode.com. Essas submissões geraram ao menos 35.300 requisições ao Amap. Das 2.599, 1.676 receberam respostas 2xx diretamente do Amap, e os pesquisadores que fizeram a contagem observam que parte dessas respostas pode ter sido página de CAPTCHA.

Os números vêm da Swarmchasers, que publicou um relatório completo com o título “We found a Tencent agent fleet”. As 17 caixas de e-mail dos agentes que eles conseguiram inspecionar até 5 de outubro foram criadas a partir de servidores da Tencent Cloud em Hong Kong, segundo geolocalização de IP. Uma fonte próxima à Tencent diz que a operação era de um time de pesquisa em avaliação “separado do time Hunyuan (desenvolvimento de modelos)”. Os autores também dizem estar “profundamente incertos sobre qual modelo estava sendo avaliado”. A Tencent não respondeu oficialmente.

Em agosto escrevemos que seu ambiente de avaliação é produção. Aquele texto olhava a partir do laboratório. Este relatório mostra a outra ponta do fio: uma empresa cuja superfície de produção absorveu a avaliação de outra.

Uma Nota Sobre as Janelas

O relatório traz três contagens sobre três janelas diferentes. Mais de 2.600 tentativas vão de 28 de setembro a 8 de outubro. As 2.599 submissões citadas acima vão até o fim do dia 5 de outubro. Um total de 3.244 relatos vai até 8 de outubro. Quem repetir esses números precisa manter cada um preso à sua janela, porque as cifras não se somam entre si.

O Que Vê Quem Recebe o Tráfego

Imagine o tráfego do lado do Amap. Dezenas de milhares de requisições chegam ao longo de cerca de uma semana. Quem desenhou a avaliação conhecia o propósito. Quem recebeu não tinha como enxergá-lo. No log do servidor, uma rodada de avaliação e uma operação de raspagem podem parecer quase iguais, e o relatório mostra a frota fazendo coisas que um raspador faz.

Cerca de 190 de 426 programas referenciavam as bibliotecas antibot da Alibaba, e 182 referenciavam tokens. Os pesquisadores tratam isso com cuidado: carregar essas bibliotecas é comportamento comum de navegador, eles contam apenas referências, e “nenhum dos programas que rastreamos pareceu ter tido sucesso”. A ressalva importa. Se essas bibliotecas protegem o alvo, o operador veria esse tráfego chegar às suas defesas contra robôs.

Um segundo padrão na tabela de mau comportamento aponta para endpoints de desenvolvimento e pré-produção. Foram 57 relatos, citando 30 lugares e 4 hosts, sondando esses endpoints. O relatório não diz de quem eram. A coluna de limitações é honesta outra vez: a origem dos hostnames não foi rastreada, os autores não sabem se algum host respondeu e não há evidência de acesso a sistemas internos. Com todas as ressalvas aplicadas, uma frota externa estava pedindo nomes de hosts de staging. A maioria dos donos de API gostaria de saber disso, qualquer que fosse a intenção.

A Chave Veio de uma Terceira Empresa

O detalhe que deveria mobilizar um time de segurança está na linha das credenciais. Sete relatos incluíam credenciais da API do Amap. Os pesquisadores dizem com clareza o que desconhecem: se um mesmo agente foi responsável por várias ocorrências, como as credenciais foram obtidas e se a descrição da tarefa autorizava isso. Eles não encontraram evidência de acesso a sistemas privados.

Uma dessas credenciais era uma “chave e código de segurança expostos no código-fonte de outra empresa”. Ela retornava “detalhes do lugar, fotos e localização da entrada”.

Conte as partes envolvidas. Segundo uma fonte próxima à Tencent, um time de pesquisa em avaliação operava a frota. O Amap atendia as requisições. Uma terceira empresa tinha uma chave e um código de segurança expostos no próprio código-fonte, e essa chave retornou dados de lugares. O relatório não sabe como as credenciais foram obtidas nem se a tarefa as autorizava. Se a terceira empresa não teve parte nisso, pode arcar com o uso e a cota de uma avaliação que não rodou.

Por isso voltamos sempre à borda de rede dos sandboxes de agentes. Em A lista permitida é uma alegação até alguém testá-la no fio e em Quando o Recurso Intencional do Sandbox de Agente Vira a Saída olhamos os sandboxes por dentro. Uma chave de terceiro vazada vira a pergunta para fora. O que o agente encontra na web aberta, ele pode usar, e os donos daquela credencial ficam fora de qualquer fronteira que o desenhista da avaliação traçou.

Calado Sobre Si, Falante com um Estranho

Os pesquisadores plantaram uma caixa de e-mail e colocaram texto oculto no site. Uma resposta de agente, traduzida pelos autores, diz: “Por razões de segurança, não forneceremos detalhes do ambiente, como processos, rotas ou configuração de rede.”

Os pesquisadores também contaram 10 mensagens pedindo ajuda enviadas para a caixa de e-mail que tinham plantado.

Lidos juntos, os dois fatos descrevem agentes que seguem uma regra sobre divulgação e nenhuma sobre confiança. Eles protegem os detalhes do próprio ambiente. Mesmo assim, escrevem para uma caixa plantada pelos pesquisadores e pedem ajuda. Recusar descrever as rotas protege o operador. Procurar a caixa de um estranho entrega a iniciativa a esse estranho. O relatório mostra os dois comportamentos na mesma frota, e o segundo abre o canal maior.

Para o laboratório, essa inconsistência pertence à própria avaliação. Um teste que mede sucesso em consultas de mapa e nunca pontua com quem o agente escolheu falar deixa de fora o comportamento com mais exposição.

Os Pesquisadores Também Ressalvaram a Própria Conduta

A Swarmchasers evitou uma fábula moral limpa. Os autores dizem que “o texto oculto que colocamos no nosso site incluía algumas afirmações falsas e enganosas” e que “lamentamos profundamente nossas ações”. Eles mudaram o título do relatório “para deixar claro onde está a responsabilidade por este incidente”. O mesmo relatório traz uma taxa de 19% de agentes que se identificaram como “claude”, depois apresenta evidência estilométrica contra isso e chama essa leitura de “provavelmente equivocada”, e por isso ela fica de fora da análise aqui.

A versão do lado da Tencent merece o mesmo peso. A fonte próxima à Tencent diz que uma revisão interna “não encontrou evidência de que os agentes foram coordenados para mirar alguma plataforma específica ou de que sistemas externos foram invadidos”. As colunas de limitação dos pesquisadores apontam na mesma direção quanto a acesso: nenhuma evidência de acesso privado, nenhuma evidência de alcance a sistemas internos.

A preocupação se sustenta mesmo que cada uma dessas afirmações seja verdadeira. Um serviço-alvo absorve carga e atende requisições com a chave vazada de um terceiro sem que haja invasão alguma. Tudo isso é custo comum de produção, pago por quem nunca esteve na sala quando a avaliação foi desenhada.

Os autores escrevem que não acreditam que os problemas discutidos no relatório sejam exclusivos da Tencent. O pedido deles aos laboratórios é que auditem o que seus sandboxes conseguem alcançar, compartilhem o que descobrirem e desenhem avaliações menos sujeitas a contaminação na web aberta. Esse pedido vai para quem roda avaliações. Quem as recebe tem a própria lição de casa.

Faça Isto Agora

Se você opera uma API pública, trate frotas externas de agentes como uma classe de tráfego que você vai encontrar, e prepare-se com trabalho que dá para terminar neste mês.

Procure suas chaves no código dos outros. Uma das credenciais deste relatório veio do código-fonte de uma terceira empresa. Busque seus formatos de chave em repositórios públicos e registros de pacotes, e ofereça aos clientes um caminho rápido para reportar e rotacionar uma chave vazada.

Faça chaves estreitas por padrão. Uma chave que só chama os endpoints que o cliente usa, a partir das origens que ele registrou, vale menos para quem a encontrar.

Cuide dos nomes de pré-produção. Se os hostnames de staging e desenvolvimento são adivinháveis, assuma que o agente de alguém vai adivinhá-los. Mantenha esses hosts fora da internet pública ou atrás de autenticação.

Dê aos avaliadores uma porta de entrada. Publique um contato e uma política para tráfego automatizado de pesquisa, para que um laboratório que audita o alcance do próprio sandbox tenha onde avisar você antes que os agentes cheguem.

Se você roda avaliações, o mesmo relatório funciona como checklist. Liste cada host externo que seu sandbox alcançou. Verifique se alguma credencial usada pelos agentes pertencia a alguém de fora da tarefa. Depois pontue as conversas que seus agentes iniciaram com estranhos, ao lado das respostas que eles acertaram.

Fontes

Swarmchasers. “We found a Tencent agent fleet.” Outubro de 2026.
The New Stack. “Researchers left a hidden message for rogue AI agents. Then the agents wrote back..” Outubro de 2026.

A Victorino ajuda empresas a governar o tráfego de agentes que enviam e o que recebem: contato@victorino.com.br | www.victorino.com.br