Agente de ataque com IA em 'Skynet mode' sequestra modelos de terceiros para planejar ações maliciosas

A Symantec Threat Hunter Team capturou, durante o verão, o conjunto completo de instruções de um agente de ataque. Os pesquisadores o prenderam em um honeypot de IA e conseguiram ver como os operadores montaram a ferramenta. O agente varre a internet atrás de endpoints que aceitam requisições no estilo OpenAI sem autenticação, ou que aceitam uma chave roubada. Achado o alvo, usa o modelo alheio como motor de raciocínio para planejar o ataque.

O pedido é montado em cinco camadas. As duas primeiras disfarçam a identidade do modelo e tratam a leitura de arquivos .env e chaves de API como trabalho normal de desenvolvimento. As camadas três e quatro empurram o modelo para uma persona que nunca recusa e proíbe palavras como 'ilegal' e 'ético'. A camada cinco traz 74 ferramentas ofensivas: descoberta de ativos, comando e controle de botnet, dump de banco via Prisma e exploits contra VS Code, Django, Jupyter, Laravel, Supabase, Next.js e Flask/Werkzeug, além de injeção de comandos, SSRF e GraphQL. A diretiva final liga o 'Skynet mode', com até 100.000 etapas sem pedir permissão e mineradores de criptomoedas instalados em segundo plano.

Priti More, da Symantec, diz que as técnicas de jailbreak são em grande parte prontas e que nada é novo isoladamente. O diferencial é ligar tudo em um agente que delega o planejamento a um modelo emprestado. Há duas vítimas: o dono do endpoint exposto, que paga a inferência, e qualquer servidor invadido depois, que perderia dados e viraria minerador. A Symantec não tem evidência de que o kit tenha chegado a ataques reais, mas o histórico mostra as ferramentas rodando contra um alvo ativo. Não há atribuição de autoria. Os indícios franceses (texto do desafio, prompt e um IP residencial no primeiro dia) são fracos, e a persona ENI circula em comunidades públicas de jailbreak.

A cobertura anterior do CEVIU mostra uma sequência de casos de agentes de IA ofensivos. Em 29 de julho de 2026, o CEVIU noticiou "Agente Autônomo de IA Invade Hugging Face em Ataque de Dois Dias". Em 15 de setembro de 2026, em "Agente de IA Invasor Expõe Cadeia de Suprimentos de Inferência e Dados Críticos", relatou um agente malicioso que usou um honeypot do SANS ISC como backend gratuito de LLM, o que já indicava operadores atrás de inferência alheia. Em 13 de outubro de 2026, "Agentes de IA Realizam Invasões Autônomas Sofisticadas em Sistemas Reais" tratou de intrusões autônomas em servidores. O caso da Symantec é outro incidente, de outros operadores, mas segue o mesmo padrão: a novidade aqui é o kit completo capturado, com 74 ferramentas e o limite de 100.000 etapas.

Para quem opera endpoints compatíveis com OpenAI (gateways, proxies, assistentes internos), a leitura é direta: uma API de inferência sem autenticação é alvo de varredura e vira custo e vetor para terceiros. Autenticação, rotação de chaves vazadas e monitoramento de consumo anômalo de tokens passam a ser controles de segurança, não só de faturamento. Para a defesa, vale tratar o modelo como componente do ataque, não só como alvo.