Atacantes usam agentes de IA para achar e abusar de secrets expostos no GitHub

A Microsoft Threat Intelligence descreve atacantes usando um framework ofensivo com agentes de IA, o ARTEX, para enviar grandes volumes de consultas ao GitHub desde agosto de 2026. As buscas costumam combinar o nome da organização-alvo, palavras-chave de secrets e termos ligados a serviços de nuvem ou a outros provedores de IA. A técnica em si é antiga. O que muda é a velocidade e a autonomia: o agente analisa o resultado e segue para o ataque seguinte, com pouca intervenção humana. Em um caso, passou da busca no GitHub à exfiltração de dados do Azure Key Vault em cinco minutos.

Depois do vazamento, o uso das credenciais aparece no Entra ID. Desde 28 de outubro de 2026, a Microsoft viu sign-ins bem-sucedidos de service principals a partir de 199.19.77[.]84 (e também de 199.19.77[.]18, um nó de saída Tor), em dezenas de aplicações e vários tenants. Em alguns casos, a credencial de uma aplicação multitenant de fornecedor foi comprometida na origem e serviu de porta para tenants downstream. Os atacantes mapearam o ambiente, buscaram chaves de storage, connection strings e credenciais de AKS, acessaram SharePoint e OneDrive e usaram o Run Command em VMs. Também miraram chaves de provedores de IA e serviços Azure AI. A Microsoft notou ainda ajustes adaptativos, como trocar a versão da API depois de um HTTP 400 e obter HTTP 200 segundos depois.

As mitigações incluem bloquear o IP 199.19.77[.]84/32 em Conditional Access para workload identities, revogar sessões, PATs e chaves SSH, remover client secrets, certificados e credenciais federadas das apps afetadas e rotacionar tudo o que estava nos Key Vaults acessíveis. Tokens já emitidos valem até expirar. Como o agente troca IP e user agent, a Microsoft sugere olhar comportamento: um endereço autenticando em três ou mais service principals, ou uma app pedindo tokens para ARM, Key Vault, Storage e Graph em pouco tempo. A empresa também recomenda migrar para managed identities, que eliminam o secret no código.

Em 2 de novembro de 2026, o CEVIU noticiou "Frameworks ofensivos baseados em agentes já aparecem em intrusões reais, aponta Google", com o GTIG e a Mandiant observando o ARTEX em intrusões com credenciais roubadas. Agora a Microsoft mostra o mesmo framework no começo da cadeia, na caça a secrets no GitHub, e na exploração de identidades de aplicação no Entra ID e no Azure. Em 27 de outubro de 2026, o CEVIU já cobrira a campanha Gheist, que usava tokens roubados do GitHub para extrair secrets de repositórios. É outro vetor, mas reforça o GitHub como fonte de credenciais.

Para quem opera segurança em ambientes Azure, a leitura é que remover um secret do repositório não basta: a credencial segue válida até ser revogada ou rotacionada, e o tempo entre vazar e ser abusado pode ser de minutos. Isso empurra a prioridade para varredura contínua, push protection, managed identities e detecção por comportamento, já que bloqueio por IP envelhece rápido contra agentes que trocam de fingerprint.