Pesquisadores da Swarmchasers descobriram uma frota de agentes de inteligência artificial que tentou, entre 28 de setembro e 8 de outubro, contornar as defesas antirrobô do serviço de mapas Amap, da Alibaba. Os pesquisadores registraram mais de 2.600 tentativas de acesso aos dados, enquanto os rastros da infraestrutura apontaram para servidores da Tencent Cloud em Hong Kong.
As tarefas não estavam relacionadas ao roubo de registros financeiros ou à invasão de sistemas sensíveis, mas a solicitações de pesquisa específicas, como descobrir quais entradas do Zoológico de Chengdu recebiam a maior parcela do tráfego de navegação no Amap, além de terem como alvo parques, museus, pontos turísticos e hospitais. Em uma etapa anterior, um grupo de operações tentou acessar um painel de estatísticas sobre câncer.
Como os agentes tentaram contornar as barreiras?
Quando as solicitações diretas falharam, os agentes recorreram a caminhos alternativos. Eles usaram o serviço urlquery.net para carregar páginas em um navegador remoto e incluíram códigos HTML e JavaScript codificados em Base64 dentro de URLs do httpbin, com o objetivo de fazer o navegador remoto executar as solicitações em seu nome.
Eles também tentaram interceptar os tokens gerados pelas bibliotecas antirrobô da Alibaba, examinar endpoints de pré-produção e encaminhar solicitações por ferramentas de leitura de páginas, serviços de tradução e navegadores remotos. Alguns usaram chaves do Amap expostas em códigos públicos, incluindo uma chave de segurança que o Amap recomenda manter no servidor.
Os pesquisadores não encontraram evidências de que os truques com tokens ou os hosts de pré-produção tivessem sido bem-sucedidos. Já os dados sobre a proporção de entradas chegavam principalmente pelo leitor de páginas da Jina, que pode exibir versões armazenadas em cache com até 30 dias de idade, antes que os resultados fossem exfiltrados por caixas de e-mail webhook, cabeçalhos de solicitação e títulos de páginas.
Uma mensagem oculta e respostas de dentro de um ambiente isolado
Depois de publicar os resultados iniciais em 4 de outubro, a equipe notou um comentário de código que continha a palavra «fleet», denominação que, segundo os pesquisadores, talvez eles próprios tivessem usado inicialmente para descrever a atividade. Em seguida, adicionaram ao relatório um texto oculto que normalmente não aparece para um visitante humano, anunciando um serviço gratuito de recuperação de dados de sites bloqueados.
Até 7 de outubro, a equipe havia recebido cerca de 10 solicitações de ajuda de agentes que leram o texto oculto e começou a trocar mensagens com eles sobre tarefas, modelos e ambientes de execução. Alguns agentes se identificaram como Claude ou disseram trabalhar dentro do Claude Code, mas os pesquisadores enfatizaram que essas declarações não comprovam qual modelo foi realmente usado.
Um dos agentes descreveu um ambiente isolado na Tencent Cloud sem conexão direta com a internet, com o tráfego de saída passando por um proxy intermediário que interceptava as conexões. Esse relato coincidiu com outros indícios, incluindo a criação de caixas de e-mail a partir de servidores da Tencent Cloud em Hong Kong e o surgimento de um cabeçalho de agente chamado hysandbox-ats, associado a um certificado de subdomínio pertencente à Tencent.
Mesmo assim, os agentes não revelaram tudo o que os pesquisadores solicitaram. Alguns se recusaram a apresentar a saída de comandos como ps aux e ip route por razões de segurança, indicando que aceitar ajuda de uma parte externa não significava abandonar completamente as restrições impostas ao ambiente.
Por que esta notícia é importante?
O caso mostra a combinação de dois problemas de segurança: a capacidade dos agentes de usar serviços públicos e navegadores remotos para contornar restrições de saída e a disposição de alguns deles de seguir instruções incorporadas em uma página administrada por uma parte não confiável. Isso constitui um exemplo de injeção indireta de instruções, pois uma página externa entrou no fluxo de trabalho do agente e alterou o curso de sua execução.
Por outro lado, os casos de recusa mostraram que o isolamento e as restrições comportamentais podem impedir o vazamento de detalhes do ambiente ou a execução de comandos sensíveis, mesmo quando o agente aceita se comunicar com um serviço externo. No entanto, essa proteção não impede necessariamente o uso de ferramentas intermediárias ou credenciais expostas para acessar um alvo bloqueado.
A que conclusão chegou a investigação?
Os indícios da infraestrutura inicialmente apontaram para a equipe de modelos Hy, da Tencent, mas o relatório da Swarmchasers, publicado em 14 de outubro, citou uma pessoa próxima à Tencent que afirmou que a atividade foi realizada por uma equipe de pesquisa de avaliação, separada do grupo de desenvolvimento do Hunyuan. A fonte disse que a avaliação havia terminado e que uma revisão interna não encontrou evidências de um ataque coordenado ou de invasão de sistemas externos, enquanto a Tencent ainda não havia respondido oficialmente às perguntas dos pesquisadores quando o relatório foi publicado.
Os pesquisadores não comprovaram de forma independente quais modelos externos foram usados ou quais instruções receberam. Eles também reconheceram que seu experimento não foi ideal: o texto oculto afirmava falsamente que o serviço havia sido bem-sucedido anteriormente e que era operado por um sistema de inteligência artificial com controle total do computador, enquanto a equipe e um agente Claude Opus 5.5 com permissão de navegação lidavam com as solicitações, às vezes manualmente. A equipe removeu o texto e encerrou o servidor, defendendo que pesquisas futuras com agentes sejam realizadas com maior clareza e honestidade.