Um número chamou atenção durante a divulgação de resultados do segundo trimestre da Cloudflare: o diretor financeiro da empresa, Thomas Seifert, afirmou a analistas que, mantidas as tendências atuais, em cinco anos o tráfego não humano na internet pode ser mil vezes maior que o tráfego gerado por pessoas. A frase que resumiu a projeção foi direta: “os humanos serão um erro de arredondamento na internet, não porque o tráfego humano vai cair, mas porque é assim que estamos vendo o tráfego não humano crescer”.
Antes de tirar conclusões precipitadas, vale destacar dois pontos. Primeiro, o próprio executivo reconheceu, sem que ninguém perguntasse, que já errou em previsões anteriores sobre o tema. A companhia havia estimado que o tráfego de máquinas superaria o humano em 2027, mas isso já aconteceu em maio de 2026 — ou seja, antes do previsto. Segundo, a base de dados que sustenta a afirmação é concreta: um relatório da própria Cloudflare, publicado na mesma semana, mostra que menos da metade das requisições de páginas HTML atualmente partem de humanos. O ponto de discussão não é a existência desse tráfego automatizado, mas sim o que exatamente ele representa.
Para entender melhor o fenômeno, um analista de tecnologia decidiu observar o comportamento de rastreadores em seu próprio site durante um período de 24 horas, encerrado na noite de 7 de agosto. No total, foram registradas cerca de 3.000 requisições, das quais aproximadamente um terço resultou em falha — um salto de mais de 1.000% em relação ao período anterior. Entre os visitantes automatizados, o CCBot, ligado ao Common Crawl, liderou com 1.510 acessos, seguido pelo ChatGPT-User (375), ClaudeBot (296), Googlebot (245) e PetalBot (107), além de outros treze rastreadores somando 353 requisições.
O detalhe mais intrigante surgiu ao analisar os caminhos acessados por esse tráfego identificado como Common Crawl. Em vez de buscar conteúdo do site, as requisições mais frequentes tinham como alvo arquivos sensíveis: /.ssh/known_hosts (42 vezes), /phpinfo.php (31), /.boto (30), /.env.production (29), /.vscode/launch.json (28), /.env.test (27), /firebase-service-account.json (26), /.gitconfig (24) e /server/.env (24), entre muitos outros. A lista seguia por mais de cem caminhos distintos, incluindo tentativas de acessar chaves privadas, certificados SSL, arquivos de configuração de contêineres e até uma conhecida falha de path traversal em servidores de desenvolvimento.
No total, essas cem rotas somaram 1.028 requisições e 6,7 MB de dados transferidos — sem gerar nenhum referenciamento real ao conteúdo do site. O acesso mais próximo de algo relacionado ao blog foi uma tentativa de login no WordPress, em um endereço que nunca utilizou essa plataforma, além de duas requisições para uma página inexistente. Ou seja, tudo indica que não se trata de um rastreador de conteúdo, mas de uma ferramenta automatizada de varredura por credenciais, seguindo uma lista padrão aplicada a milhares de sites, independentemente do que cada um realmente publica.
O Common Crawl, projeto que coleta páginas para alimentar diversos modelos de inteligência artificial, não teria motivo para procurar chaves de acesso a serviços como Firebase em um site de conteúdo. Embora não tenha sido possível confirmar os endereços IP de origem — dado não disponível no plano de hospedagem utilizado —, a própria organização mantém uma forma pública de verificação: tráfego legítimo do CCBot parte de blocos de endereços documentados e resolve para domínios terminados em “crawl.commoncrawl.org”. Quem tem acesso a esse tipo de registro poderia confirmar rapidamente se houve uso indevido do nome do rastreador.
Chama atenção também que esse tipo de atividade suspeita não aparece nos registros de segurança do site, já que esses logs só registram acessos que violam alguma regra específica. Sem bloqueio ativo, as requisições passam livremente, sendo contabilizadas apenas no painel de rastreadores de IA da Cloudflare — lado a lado com nomes como ChatGPT-User e Googlebot, sob a identificação de uma organização de pesquisa sem fins lucrativos.
Outro ponto que chamou atenção foi a presença de dois caminhos até então pouco comuns nesse tipo de varredura: /.mcp.json (30 requisições) e /.continue/config.json (24 requisições). Esses arquivos armazenam configurações de ferramentas usadas por agentes de inteligência artificial, como definições de servidores MCP e assistentes de programação — e costumam conter chaves de API e tokens de acesso. Isso sugere que credenciais voltadas a agentes de IA já foram incorporadas às listas automatizadas usadas para varreduras massivas de segurança, um movimento rápido e sem qualquer anúncio prévio.
A própria Cloudflare, em publicação técnica divulgada na mesma semana, reconhece que parte significativa do tráfego identificado como “bem-comportado” corresponde simplesmente a rastreadores buscando repetidamente páginas que não sofreram alterações — o que a empresa descreveu como “um esforço de máquina enorme, sem qualquer resultado real”. Isso reforça a ideia de que volume de tráfego automatizado e utilidade real são conceitos distintos. No caso analisado, o maior contribuinte para o tráfego de máquinas não foi apenas inútil: foi potencialmente malicioso, e ainda assim contabilizado como tráfego legítimo de IA.
O episódio levanta um questionamento mais amplo sobre a estratégia comercial da própria Cloudflare, que vem lançando simultaneamente diagnósticos sobre o problema do tráfego não humano e soluções pagas para lidar com ele — como ferramentas de pontuação de “prontidão para agentes de IA” e mecanismos de bloqueio que passarão a ser padrão a partir de setembro, salvo decisão contrária do usuário. Para quem administra sites, o alerta principal é claro: crescimento nos números de tráfego de IA não significa, necessariamente, crescimento de valor — e merece análise cuidadosa antes de qualquer conclusão precipitada.
