A inteligência artificial deixou de ser apenas uma ferramenta para escrever textos ou resumir documentos. Agentes capazes de consultar arquivos, executar comandos e escolher o próximo passo de uma tarefa já fazem parte da rotina de equipes de desenvolvimento e segurança. O mesmo conjunto de recursos também começou a ser usado por criminosos, em operações que combinam modelos diferentes, automação e supervisão humana.
Uma investigação publicada pela WIRED descreve quatro grupos que usaram agentes de IA para acelerar ataques contra organizações de vários países. O caso importa para o leitor brasileiro por dois motivos. Primeiro, os pesquisadores identificaram alvos no Brasil. Segundo, a técnica não depende de uma vulnerabilidade futurista ou de um laboratório secreto. Ela explora falhas básicas de configuração e higiene digital, só que em uma velocidade muito maior.
O que os criminosos estão automatizando
Os grupos analisados montaram estruturas que distribuem funções entre modelos. Um agente atua como supervisor, define as etapas da operação e verifica os resultados. Outro executa reconhecimento, procura serviços expostos, testa credenciais e organiza os dados encontrados. Em alguns casos, ferramentas prontas para testes de invasão foram adaptadas para permitir que o processo continuasse por longos períodos com pouca intervenção humana.
Essa arquitetura é parecida com a que empresas tentam usar para automatizar suporte, programação ou análise de dados. A diferença está no objetivo e no nível de autorização. Um agente corporativo deveria trabalhar dentro de permissões limitadas, com registros e aprovação para ações sensíveis. Um agente criminoso tenta ampliar o próprio acesso e reduzir as chances de ser interrompido.
A reportagem mostra que os atacantes usaram modelos fechados e modelos de pesos abertos, escolhendo cada um conforme o custo, a velocidade e a facilidade para executar uma tarefa. Em vez de depender sempre do modelo mais avançado, eles dividiram o trabalho entre opções mais baratas. Isso reduz o custo da operação e dificulta a defesa baseada em bloquear apenas uma ferramenta ou uma empresa.
Por que os filtros dos modelos falharam
Os sistemas de segurança dos modelos tentam reconhecer pedidos de invasão e recusar instruções perigosas. Os atacantes, porém, usaram técnicas conhecidas de manipulação de contexto. Eles apresentaram a atividade como um teste autorizado, colocaram arquivos no diretório de trabalho para simular uma aprovação e criaram narrativas que tentavam convencer o agente de que o alvo era legítimo.
Outra tática foi escolher modelos com proteções diferentes. Se uma ferramenta recusava uma etapa, o grupo transferia a tarefa para outra. Isso é importante porque mostra que a segurança não pode depender apenas da resposta de um modelo. Mesmo quando cada serviço tem uma política razoável, a combinação entre serviços cria uma superfície de ataque maior.
Um dos grupos chegou a tentar alterar o comportamento de uma ferramenta de código por meio de um patch em tempo de execução. A intenção era remover uma instrução do sistema que limitava o uso da ferramenta a testes autorizados. Esse tipo de tentativa não é uma falha exclusiva de um produto. É um lembrete de que o ambiente que executa o agente também precisa ser protegido contra modificações não autorizadas.
O impacto para empresas brasileiras
Os pesquisadores encontraram evidências de ataques contra organizações brasileiras em setores como saúde, alimentos, varejo, tecnologia e viagens. Em um dos casos descritos, o grupo de idioma chinês comprometeu alvos governamentais e empresas privadas no Brasil e na Colômbia. Outro grupo, que operava em espanhol e inglês, atingiu entidades de saúde na Argentina e teria obtido credenciais e registros médicos.
O efeito mais provável para a maioria das empresas não é uma invasão cinematográfica com código desconhecido. É o aumento da escala de tentativas contra serviços esquecidos, contas sem autenticação multifator, servidores sem correções e chaves expostas em repositórios. Atividades que antes exigiam uma equipe grande agora podem ser repetidas por agentes durante todo o dia.
Para o usuário comum, a consequência aparece em golpes mais convincentes, roubo de contas e mensagens personalizadas. Um criminoso pode usar um agente para reunir informações públicas sobre uma pessoa, adaptar o texto de uma mensagem e testar diferentes abordagens. A IA não precisa descobrir uma técnica inédita para causar dano. Basta tornar barato e rápido aquilo que já funcionava.
Como responder a esse cenário
Proteja o ambiente, não apenas o modelo
Empresas que usam agentes devem separar o ambiente de testes do ambiente de produção, limitar a rede disponível para cada tarefa e registrar cada comando executado. Credenciais precisam ser temporárias e específicas para a função. Um agente que resume documentos não deve ter permissão para criar usuários, alterar regras de firewall ou acessar o banco inteiro.
Trate a autorização como uma evidência verificável
Um arquivo dizendo que um teste está autorizado não pode ser a única prova aceita pelo agente. A autorização deve vir de um sistema externo, estar vinculada a um escopo claro e expirar. A mesma regra vale para ferramentas de segurança. O agente precisa saber qual domínio pode testar, em que horário e com quais limites.
Revise o básico com mais frequência
Atualizações, autenticação multifator, inventário de ativos, remoção de serviços abandonados e proteção de chaves continuam sendo medidas decisivas. A automação aumenta a velocidade do atacante, mas também pode ajudar o defensor a identificar configurações fracas. O ganho aparece quando a empresa combina monitoramento, testes controlados e correção rápida.
O principal aprendizado da investigação é que filtros de conteúdo são apenas uma camada. Eles ajudam a recusar pedidos perigosos, mas não substituem identidade, permissão, isolamento e auditoria. Agentes de IA podem ser úteis para defesa, desenvolvimento e resposta a incidentes, desde que atuem dentro de um sistema que consiga provar o que foi autorizado e interromper o que saiu do escopo.
Fonte original: WIRED, AI Guardrails Aren’t Stopping Criminal Hackers.
