Ladrões de Dados Miram Agentes de IA; Suas Informações em Risco

A superfície de ataque se expande, e agora os alvos são os agentes de IA instalados localmente. Pesquisadores da Gen identificaram novas famílias de infostealers, como Amatera e Remus, que focam especificamente na exfiltração de dados sensíveis armazenados por essas ferramentas. O foco não é explorar uma falha no modelo de IA ou no agente em si, mas sim o valor concentrado de informações em locais previsíveis, muitas vezes em texto puro, que esses agentes mantêm nos endpoints.

Os dados visados incluem credenciais (tokens de acesso e refresh), históricos de prompts e conversas, detalhes de contas e projetos em andamento. Configurações do Model Context Protocol (MCP) também estão na mira, pois podem conter chaves de API e outros detalhes de autenticação que estendem o acesso a ferramentas externas e serviços conectados. A facilidade de adaptação desses malwares é um ponto crítico: uma vez que o operador identifica onde o agente armazena dados úteis, basta uma atualização simples na lista de coleta para que o infostealer comece a agir em dispositivos já comprometidos.

A cobertura anterior do CEVIU já alertava sobre a redefinição dos parâmetros de segurança com a chegada de assistentes de IA, apontando para a vulnerabilidade de armazenamentos de credenciais e os riscos de prompt injection. Mencionamos em 1 de julho de 2026 que agentes de IA que executam ações via MCP exigem proteção reforçada contra envenenamento de metadados, elevando o risco de vazamentos. Agora, a ameaça ganhou um vetor direto e mais agressivo: não é apenas o comportamento da IA que pode ser manipulado (como em ataques de sequestro de meta ou prompt injection), mas sim os próprios dados localmente armazenados que são roubados por infostealers especificamente configurados. O que era uma preocupação genérica com vazamentos em sistemas ativos de IA, agora se concretiza como um ataque direto de exfiltração de dados sensíveis dos arquivos locais dos agentes.

Agentes de IA são a nova "memória de trabalho" em nossos dispositivos. Roubar os dados locais desses agentes significa obter não só chaves de acesso a serviços (tokens, credenciais de MCP), mas também um "contexto" valiosíssimo: quais projetos o desenvolvedor trabalha, códigos proprietários, informações confidenciais, e até detalhes de infraestrutura. Esse combo de acesso e contexto é ouro para atacantes, permitindo desde o consumo indevido de capacidade de APIs pagas até espionagem corporativa e fraudes de identidade. O que antes era só um arquivo de configuração, agora é um repositório de alto valor para os cibercriminosos.