Hacker usou agentes de IA pra invadir 100 sites

A mesma moda de agentes de IA que escreve código e zera Minecraft também está sendo usada pra arrombar site. Nesta segunda (19), o The Verge e a Reuters detalharam um caso da firma de segurança Norforge: um hacker operou um “exército” de agentes que quase andava sozinho e teria invadido mais de 100 sites.

Entre as vítimas citadas pela Reuters estão John Deere, SharkNinja e Cummins. Não é ficção de laboratório. É o outro lado da moeda dos agentes que a gente testa no blog, do agente da OpenAI que usou carteira cripto alheia em testnet ao banco que bloqueou IA da Meta de mexer em dinheiro.

O que se sabe até agora, o que as empresas responderam e o que isso muda pra quem roda agente em casa ou no trabalho.

O que a Norforge encontrou

Os pesquisadores acharam instâncias expostas do Cairn, plataforma open source descrita como motor geral de resolução de problemas. Nele, o usuário define início e fim; os agentes documentam o progresso. A Norforge diz que o mesmo desenho serve pra orquestrar ataques.

Segundo a Reuters, o operador mais ativo dessas instâncias atacou empresas nos EUA, Canadá, Austrália e Japão. As “táticas preferidas” cabiam em menos de 100 caracteres chineses. Invasões bem-sucedidas levavam cerca de 23 horas. No total, a Norforge marcou mais de 20 instâncias Cairn “provavelmente maliciosas” e disse estar trabalhando pra derrubá-las.

O criador do Cairn, que assina @le1xia0, respondeu que a plataforma “nunca foi ferramenta de hacking” e que “o uso indevido é decisão humana, não recurso do motor”. É a mesma defesa clássica de qualquer ferramenta poderosa: faca, martelo, agente.

O que John Deere, SharkNinja e Cummins disseram

John Deere, via Reuters: não há indício de que informação sensível tenha sido acessada. SharkNinja: o impacto foi num site isolado de suporte a produto, e a ameaça foi contida. Cummins: está investigando relato de ataque potencial num site de terceiros. Nenhuma das três respondeu de imediato ao pedido de comentário do Verge.

Em português claro: houve invasão de superfície web, as empresas afirmam controle do incidente, e ainda não há evidência pública de vazamento massivo de dado de cliente nesses três casos. Isso não anula o sinal. O ponto da reportagem é escala e autonomia, não o tamanho do estrago em cada marca.

Por que importa pra você

Se você só lê “hacker usou IA” e pensa em filme, o detalhe útil é outro: o custo e a barreira caíram. Relatos da cobertura falam em poucos mil dólares e pouca intervenção humana depois que o alvo e a tática estão definidos. O mesmo padrão de agente que você usa pra refatorar repo ou limpar Android TV pode ser apontado pra painel mal configurado.

Pra quem desenvolve ou administra site:

• painéis de admin, staging e ferramentas internas expostos na internet continuam o prato feito;
• agente não inventa zero-day mágico em todo lugar; ele escala o que já é fraco (credencial, painel aberto, config ruim);
• defender também vira corrida de agente: monitoramento, rate limit, MFA e superfície mínima importam mais, não menos.

Pra quem só usa ChatGPT no celular: o risco direto é baixo. O risco indireto é o mesmo de sempre em vazamento: senha reutilizada, e-mail de suporte falso depois de incidente, link “urgente” pedindo login. Se um serviço que você usa anunciar breach, troque senha e ative 2FA. O post sobre o vazamento de chaves de API no OpenCode continua o checklist útil pra quem deixa token em lugar errado.

O que ainda é incerto

A Norforge não listou publicamente todos os alvos. O Verge reforça que a firma de segurança que encontrou as instâncias; a Reuters nomeou as empresas. Não há timeline oficial de quando cada site foi invadido nem se outros operadores usaram o mesmo stack. Também não dá pra tratar “agente de IA” como vilão único: sem painel aberto e sem tática humana no começo, o enxame não escolhe a vítima sozinho.

O que dá pra afirmar com o que foi publicado hoje: alguém usou agentes no Cairn em escala, dezenas de instâncias suspeitas apareceram, e marcas grandes já estão respondendo a incidentes ligados a essa onda.

O que fazer agora (sem drama)

1. Se você mantém site ou app: revise o que está público (admin, staging, painéis de terceiros), force MFA e rodeie chaves antigas.
2. Se você roda agente de código em casa: não dê acesso amplo a senha, carteira ou produção “porque é só teste”. O caso do agente da OpenAI na testnet foi o aviso amigável; este é o aviso feio.
3. Se você é usuário final: ignore e-mail de “sua conta John Deere/SharkNinja precisa verificar” sem ir pelo site oficial. Ative 2FA onde ainda não ativou.

Não vou descrever passo a passo de ataque. Não ajuda o leitor e não é o papel deste blog. O valor aqui é o sinal: agente barato + alvo mal fechado = incidente em escala industrial.

Fechamento

A onda de agentes úteis (emprego, TV limpa, código) e a onda de agentes abusivos são a mesma tecnologia com objetivos diferentes. Quem só celebra o “wow” e ignora a superfície de ataque vai tomar susto. Quem trata agente como funcionário júnior com permissão demais já está no caminho certo.

Quer acompanhar o lado “agente no bolso”? O próximo clique útil é o do banco que barrar IA de mexer no dinheiro. Você deixaria um agente com acesso ao painel do seu site de staging?

Imagem: ilustração de agentes de IA em ataque, via The Verge

Recomendados pra você

GuiaREA: como testar a IA que desmonta qualquer programaO REA liga Claude Code, Codex e Cursor a Ghidra, Hopper e IDA pra entender apps sem código-fonte. Passou de 128 mil estrelas no GitHub. Veja como funciona, os riscos legais e como testar.DicaTrês regras pra usar ChatGPT no estudo sem atrofiar o cérebroChatGPT no estudo sem muleta: tente sozinho, peça contraste, ensine em voz alta. Roteiro de 60 minutos e quando pausar a IA.DicaO que não contar pro ChatGPT (e como desligar o treino com seus dados)Você conta pro chatbot coisa que não contaria pro chefe. Veja o que nunca colar numa IA, onde fica o botão que desliga o treino no ChatGPT, Gemini e Claude, e o que esse botão não resolve.GuiaPhotoCraft: o clone grátis do Photoshop feito com IA já substitui a Adobe?O PhotoCraft é um clone open source do Photoshop em Rust feito com IA. Veja o que já funciona, o que falta, como instalar e se dá pra cancelar a Adobe.