Hacker usa agentes de IA para invadir mais de 100 sites e gasta US$ 50 por ataque

Uma investigação da empresa norueguesa de segurança digital NorForge, divulgada em outubro de 2026, identificou uma campanha de ataques que usou agentes autônomos de inteligência artificial contra mais de 1.200 sites nos Estados Unidos, Canadá, Austrália e Japão. Mais de 100 desses sites foram comprometidos, uma taxa de sucesso próxima de 10%, segundo a NorForge (gizmodo.com.br).

O ponto que chama atenção de quem trabalha com sistemas não é a quantidade de alvos, e sim a arquitetura por trás do ataque: tudo rodou sobre uma ferramenta de código aberto chamada Cairn, pensada originalmente para testes de segurança autorizados (pentest). O criador do projeto confirmou isso à reportagem, deixando claro que o uso malicioso não era o propósito original.

Como o pesquisador achou a operação

Snorre Fagerland, pesquisador de ameaças da NorForge, investigava instalações expostas do Cairn quando esbarrou em painéis de controle sem autenticação. Esses painéis são a interface onde um operador define objetivos e acompanha o agente de IA executando tarefas em etapas, do reconhecimento do alvo até a exploração de falhas.

Desde o início de outubro de 2026, Fagerland encontrou cerca de 20 desses painéis acessíveis publicamente, sem senha. Eles expunham alvos, progresso das invasões e, em alguns casos, credenciais já roubadas. A NorForge associou 14 painéis a um único operador, identificado pelo codinome AIA0001, responsável por mais de 1.100 projetos de ataque desde 25 de setembro de 2026.

Para quem constrói ferramentas de orquestração de agentes, isso é o detalhe técnico mais relevante do caso: o vazamento não veio de uma falha sofisticada no modelo de IA, veio de um painel de administração deixado sem autenticação, o mesmo tipo de erro básico que expõe qualquer dashboard interno mal configurado.

A conta que torna o ataque escalável

O que diferencia essa campanha de um ataque manual é o custo e o tempo. Segundo a NorForge, as instruções dadas aos agentes tinham menos de 100 caracteres chineses, o equivalente a um comando curto. A partir disso, o sistema agia sozinho por horas, com as invasões bem-sucedidas levando em média pouco menos de 23 horas até se concretizarem.

O custo estimado para rodar toda a operação com modelos de IA ficou perto de US$ 5 mil. Dividido pelos mais de 100 sites efetivamente comprometidos, Fagerland chegou a um valor de aproximadamente US$ 50 por invasão bem-sucedida.

Os registros expostos sugerem uma combinação de ferramentas associadas ao Claude Code, agente de codificação da Anthropic, e a modelos da chinesa DeepSeek. Nem a NorForge nem a Reuters, que também apurou o caso, conseguiram confirmar com certeza quais modelos foram de fato usados em cada etapa.

Em resumo: um operador aparentemente sozinho conseguiu paralelizar mais de mil tentativas de invasão, algo que antes exigiria uma equipe inteira, usando um orquestrador de agentes aberto e modelos de linguagem comerciais ou abertos, por um custo que cabe no orçamento de qualquer criminoso individual.

Quem apareceu na lista de alvos

A NorForge não divulgou inicialmente os nomes das vítimas, mas jornalistas da Reuters identificaram empresas mencionadas nos registros expostos nos painéis, entre elas a Deere (fabricante por trás da marca John Deere) e a SharkNinja, de eletrodomésticos.

• A Deere informou que adotou medidas de segurança adicionais e não encontrou evidências de acesso a informações sensíveis.
• A SharkNinja declarou que o incidente atingiu um site independente de suporte a produtos e que a ameaça foi contida.
• A Cummins, fabricante de motores, afirmou investigar um possível ataque ao site de um fornecedor.

O padrão de alvo também é um dado técnico útil: o operador parecia mirar especificamente lojas virtuais de porte médio, com algo entre 200 mil e 1,5 milhão de visitantes mensais, buscando sistemas de comércio eletrônico capazes de processar pedidos e pagamentos. O objetivo parecia ser estabelecer acesso persistente, não só um vazamento pontual. Até a publicação, não havia confirmação de quantos dados foram de fato exfiltrados.

Não é um caso isolado

Em setembro de 2026, a empresa Gambit Security já havia descrito outra campanha com ferramentas de IA, incluindo o próprio Cairn, que teria comprometido pelo menos 27 organizações e copiado mais de 600 mil registros de cartões de pagamento. Demis Hassabis, diretor do Google DeepMind, também chamou atenção publicamente para os primeiros sinais de ataques conduzidos por agentes autônomos.

O padrão que começa a se desenhar é que a barreira para montar uma operação ofensiva em escala caiu de uma equipe técnica para uma pessoa com acesso a um orquestrador de agentes e algumas centenas de dólares em créditos de API.

O que muda para quem constrói e opera agentes

Para times de TI que estão montando ou avaliando frameworks de orquestração de agentes, como o próprio Cairn ou equivalentes internos, o caso é um lembrete direto de que o painel de controle do agente é tão sensível quanto um banco de dados de produção, e precisa de autenticação, não de confiança implícita.

Algumas implicações práticas para quem desenvolve ou opera esse tipo de infraestrutura:

1. Painéis de orquestração de agentes nunca ficam expostos sem autenticação. Foi exatamente essa falha, não uma brecha no modelo de IA, que permitiu ao pesquisador da NorForge encontrar a operação inteira.
2. Logs e credenciais capturadas por agentes autônomos precisam de rotação agressiva. Os painéis expostos continham credenciais obtidas durante as invasões, o que significa que qualquer agente com acesso a sistemas de produção deveria operar com segredos de curta duração.
3. Monitorar tráfego anômalo de e-commerce passa a incluir reconhecimento de comportamento de agente. O padrão de ataque (sondagem persistente por 23 horas em sistemas de checkout) é diferente do scan manual tradicional e pode exigir regras de detecção específicas em WAFs e sistemas antifraude.
4. Custo baixo de ataque muda o cálculo de risco de pequenas e médias lojas virtuais. Com US$ 50 por invasão bem-sucedida, operações que antes só faziam sentido contra alvos grandes agora compensam financeiramente contra sites de médio porte.

A NorForge informou que está trabalhando para alertar as vítimas identificadas e pedir a remoção dos painéis maliciosos ainda expostos. O episódio não prova que qualquer agente de IA consegue invadir qualquer sistema, a taxa de sucesso de 10% mostra isso, mas evidencia que a escala de tentativas simultâneas que um único operador consegue coordenar mudou de patamar, e isso é o dado que times de segurança e de engenharia de agentes precisam levar para a mesa de ameaças.

Fonte: gizmodo.com.br