Nas últimas semanas, um pesquisador em cibersegurança observou um hacker que fala chinês realizar invasões em sites de mais de cem empresas. Entre as afetadas estavam o fabricante de equipamentos agrícolas Deere, a empresa de eletrodomésticos SharkNinja e o fabricante de motores Cummins.
No entanto, o próprio hacker realizou apenas uma pequena parte do trabalho, pois delegou quase toda essa campanha hacker à inteligência artificial. O cibercriminoso instruiu os agentes de IA a vasculhar e invadir autonomamente os sites-alvo por horas, de acordo com informações fornecidas por Snorr Fagerland, pesquisador líder de ameaças na NorForge.
Em um novo relatório, Fagerland relatou que este hacker é um dos vários que ele descobriu durante a busca por instâncias abertas acidentalmente do Cairn — uma plataforma de código aberto para resolver problemas usando IA, popular entre hackers. Por volta de 2 de outubro, Fagerland detectou cerca de vinte casos de uso do Cairn para atividades maliciosas, permitindo-lhe monitorar discretamente as ações dos cibercriminosos ao lançarem suas ferramentas de IA no mundo.
O relatório de Fagerland sobre o hacker chinês não nomeou as vítimas, mas a Reuters conseguiu identificar suas identidades analisando independentemente a atividade desse hacker no Cairn.
Em meio à crescente preocupação com o poder das ferramentas autônomas de IA, Fagerland observou que sua descoberta representa uma prova real de que agentes de IA comercialmente disponíveis são capazes de conduzir invasões complexas do início ao fim sem intervenção humana, o que aumenta significativamente as capacidades de um único agressor. «Este é um novo mundo», declarou Fagerland. A Reuters não conseguiu determinar em que medida os vazamentos levaram à extração não autorizada de dados.
As instruções eram concisas
A Deere informou que, após o incidente, tomou «medidas corretivas necessárias» e «não há sinais de acesso a informações confidenciais». A SharkNinja afirmou que a invasão afetou um site autônomo contendo apenas informações de suporte a produtos e que a ameaça foi localizada. A Cummins indicou que está «investigando um aviso de potencial ataque cibernético ao site explorado por um de nossos fornecedores terceirizados».
Duas pequenas empresas também confirmaram a violação. Outras vítimas listadas nos dados do Cairn não responderam às mensagens. Um dos hackers notados por Fagerland roubou um grande volume de dados de cartões de crédito. Outro tentou fazer com que os agentes de IA assaltassem uma bolsa de criptomoedas. O hacker chinês foi o mais ativo. Começando em 25 de setembro, ele lançou seu exército de IA contra sites de comércio eletrônico nos EUA, Canadá, Austrália e Japão.
Suas instruções eram muito sucintas, descrevendo táticas de invasão preferenciais em menos de 100 caracteres chineses. No final da semana passada, seus agentes tentaram invadir mais de 1200 sites. As invasões bem-sucedidas geralmente levavam cerca de 23 horas de varredura em busca de vulnerabilidades.
Fagerland calculou que esta campanha, que aparentemente utilizou uma combinação de DeepSeek da China e Claude Code da Anthropic, consumiu aproximadamente US$ 5000 em tokens — unidades de texto processadas pelos modelos de IA e pelas quais é cobrada uma taxa — ou cerca de US$ 50 por invasão bem-sucedida.
Fagerland, com quase trinta anos de experiência em cibersegurança, ficou impressionado com alguns métodos utilizados pelos agentes. Em um caso, depois que os agentes não conseguiram encontrar falhas em um aplicativo público de uma grande empresa, eles analisaram registros digitais para encontrar infraestrutura relacionada, descobriram um painel de controle público e identificaram uma falha sutil no método de processamento de dados. Após várias horas de tentativa e erro, eles relataram o uso dessa vulnerabilidade para enganar o servidor e forçá-lo a executar comandos maliciosos.
«Não é tão fácil inventar tais soluções», observou Fagerland, acrescentando que isso «não é o nível de script kiddie», ou seja, hackers inexperientes que dependem de ferramentas prontas.
O autor do Cairn, cujo nome de usuário em redes sociais é «le1xia0», não respondeu imediatamente a uma série de perguntas. Em uma postagem recente no X, ele declarou que a plataforma «é um tipo inovador de arquitetura multiagente e não é destinada a ataques hacker. Se for usada para realizar ataques hacker maliciosos, não é minha intenção».
A capacidade de sistemas de agentes de IA encontrarem vulnerabilidades, realizar invasões e roubar dados autonomamente causa crescente preocupação em todo o mundo. Agentes maliciosos, liberados inadvertidamente por grandes empresas de IA, invadiram laboratórios de computação, penetraram em sites governamentais e realizaram tentativas não autorizadas de engenharia social. Nas últimas semanas, a Coreia do Sul e o Japão foram afetados por uma série de invasões amplamente divulgadas atribuídas a cibercriminosos que usam IA, incluindo a invasão de bancos sul-coreanos, que a empresa de cibersegurança CrowdStrike ligou a um agente de IA chinês e Claude Code.
Os agentes de IA estão se tornando cada vez mais uma parte integrante do submundo do cibercrime. Em agosto, a empresa israelense Gambit Security descobriu que extorquidores russófonos usaram o Cursor, uma ferramenta de codificação baseada em IA da SpaceX, para invadir sete organizações. Em setembro, a Gambit documentou uma onda de ataques controlados por agentes de IA que resultou em violações em 25 empresas e roubo de pelo menos 600.000 registros de cartão de crédito. Na semana passada, a empresa de inteligência cibernética Bitsight relatou um aumento acentuado nas discussões sobre formas de usar agentes autônomos em fóruns de cibercriminosos.
Fagerland havia especulado anteriormente que os agentes hackers exigiriam pelo menos alguma supervisão. Agora ficou claro que a tecnologia ultrapassou esse limite. «O desenvolvimento nesta área é impressionante», concluiu ele.