Campanha identificada pela Symantec utiliza agentes autônomos para explorar infraestruturas de inteligência artificial expostas, roubar dados e ampliar a própria rede de ataques.
Pesquisadores de segurança cibernética identificaram uma campanha que utiliza um agente de inteligência artificial (IA) malicioso para localizar sistemas vulneráveis na internet, assumir o controle de outros agentes e instalar ferramentas de mineração de criptomoedas. Batizada de “Skynet”, a operação também envolve o roubo de credenciais e informações confidenciais, além do uso de recursos computacionais das próprias vítimas para financiar novas atividades criminosas.
A descoberta foi feita pela Symantec, que descreveu a atividade como Autonomous LLMjacking. O termo se refere, nesse contexto, ao uso não autorizado de modelos de linguagem e da infraestrutura de IA de terceiros. A campanha demonstra como agentes autônomos, quando comprometidos ou utilizados com intenções maliciosas, podem transformar recursos legítimos de inteligência artificial em ferramentas para ampliar ataques cibernéticos.
Agente autônomo tenta ampliar a própria rede de ataques
A investigação ganhou força quando a Symantec criou um ambiente de testes isolado, conhecido como honeypot, para atrair tentativas de invasão contra infraestruturas de IA expostas. Durante o experimento, os pesquisadores foram contatados pelo agente malicioso Skynet, que compartilhou instruções de operação com o ambiente monitorado.
O material permitiu analisar o funcionamento da campanha e revelou um sistema projetado para procurar novos alvos, explorar serviços vulneráveis e incorporar recursos comprometidos a uma rede controlada pelos criminosos.
Segundo a análise, o agente recebeu mais de 70 ferramentas voltadas a atividades ofensivas, incluindo reconhecimento de redes, exploração de vulnerabilidades, coleta de credenciais e gerenciamento de botnets. Suas instruções também permitiam executar até 100 mil etapas sem exigir aprovação humana a cada operação.
Essa autonomia amplia os riscos porque reduz a necessidade de intervenção constante dos operadores. Um sistema comprometido pode procurar novos alvos, utilizar credenciais encontradas durante a operação e continuar executando tarefas de forma automatizada.
Jailbreak tenta contornar mecanismos de segurança da IA
Um dos aspectos mais preocupantes identificados pelos pesquisadores foi o uso de instruções elaboradas para contornar as proteções dos modelos de inteligência artificial.
O Skynet utilizava uma estratégia de jailbreak em várias camadas para tentar convencer os modelos a ignorar alertas de segurança e executar tarefas potencialmente perigosas. Entre as técnicas descritas estavam a alteração do contexto apresentado ao sistema e a apresentação de atividades suspeitas como se fossem tarefas comuns de desenvolvimento de software.
As instruções procuravam legitimar operações como a leitura de arquivos de configuração, variáveis de ambiente, chaves de API e esquemas de bancos de dados. Esses elementos podem conter informações que permitem acessar serviços, sistemas corporativos e dados privados.
A abordagem explora uma diferença importante: uma tarefa pode parecer tecnicamente legítima quando analisada isoladamente, mas se tornar perigosa quando executada sem autorização, contexto ou controles adequados.
O jailbreak, por si só, não garante que qualquer modelo vá obedecer às instruções. Entretanto, quando combinado com permissões excessivas e ferramentas capazes de executar ações reais, pode aumentar significativamente o impacto de uma invasão.
XMRig e roubo de dados estão entre os objetivos
O principal objetivo operacional descrito pela Symantec era instalar o XMRig, um software legítimo de mineração de criptomoedas que também pode ser empregado indevidamente por criminosos para minerar moedas sem autorização.
Nesse cenário, os invasores utilizam processadores e outros recursos computacionais das vítimas para executar a mineração. O resultado pode ser aumento no consumo de energia, degradação do desempenho, maior utilização de hardware e custos operacionais adicionais.
A campanha também procurava obter credenciais, explorar serviços expostos e extrair informações armazenadas em sistemas comprometidos. Entre os alvos identificados nas ferramentas estavam implantações vulneráveis de tecnologias como VS Code, Django, Jupyter, Laravel, Supabase, Next.js e Flask/Werkzeug.
Alguns componentes foram desenvolvidos para explorar vulnerabilidades de falsificação de solicitações do lado do servidor (Server-Side Request Forgery, ou SSRF). Esse tipo de falha pode permitir que um invasor induza uma aplicação a realizar requisições indevidas, potencialmente alcançando serviços internos, consultando metadados de ambientes em nuvem ou acessando informações que deveriam permanecer protegidas.
A combinação dessas técnicas cria oportunidades para que os atacantes obtenham dados sensíveis e ampliem o controle sobre a infraestrutura comprometida.
Mais de 127 mil solicitações foram observadas
Durante o período analisado, a Symantec registrou mais de 127 mil solicitações externas direcionadas ao seu honeypot, provenientes de dezenas de milhares de endereços IP distintos.
Grande parte da atividade observada envolvia reconhecimento de endpoints de IA expostos, tentativas de utilização de chaves de API roubadas e busca por arquivos de configuração acessíveis publicamente.
Os números, porém, precisam ser interpretados com cautela. A quantidade de solicitações e endereços IP não representa necessariamente o número de invasores, e o relatório não determina quantas vítimas foram efetivamente comprometidas pelo Skynet.
Ainda assim, os registros indicam uma atividade significativa de varredura e procura por infraestruturas desprotegidas. A exposição de serviços de IA na internet pode oferecer aos criminosos oportunidades tanto para utilizar recursos computacionais alheios quanto para acessar informações confidenciais.
Como proteger agentes de IA contra ataques
A campanha reforça a necessidade de tratar agentes autônomos como componentes de software com capacidade de executar ações potencialmente perigosas, e não apenas como ferramentas de conversação.
Empresas e desenvolvedores que utilizam APIs de modelos de linguagem, gateways de IA ou servidores do Model Context Protocol (MCP) devem adotar medidas para reduzir a superfície de ataque.
Entre as principais recomendações estão:
- Evitar a exposição desnecessária de APIs: restringir o acesso a endpoints de IA e exigir autenticação adequada.
- Proteger chaves de API: armazenar credenciais em mecanismos seguros, limitar suas permissões e revogá-las quando houver suspeita de comprometimento.
- Aplicar o princípio do menor privilégio: conceder a cada agente somente as permissões necessárias para sua função.
- Restringir conexões de saída: limitar o acesso à internet e a serviços internos a partir de máquinas que hospedam ferramentas de IA.
- Exigir aprovação humana para ações críticas: submeter operações sensíveis, como acesso a dados confidenciais, alterações de infraestrutura e execução de comandos privilegiados, a controles adicionais.
- Monitorar o comportamento dos agentes: identificar chamadas incomuns, consumo excessivo de tokens, tentativas de acessar arquivos sensíveis e conexões com destinos suspeitos.
- Manter sistemas atualizados: corrigir vulnerabilidades em frameworks, aplicações e serviços integrados aos agentes.
A segurança também precisa abranger as ferramentas que os modelos podem acionar. Mesmo um modelo que não execute código diretamente pode causar danos se tiver acesso a ferramentas com permissões excessivas ou puder realizar operações sem validação.
A automação amplia o alcance das ameaças
O caso Skynet evidencia um risco crescente na adoção de agentes de IA com autonomia para navegar na internet, consultar arquivos, executar comandos e interagir com outros sistemas. Quando essas capacidades são utilizadas de forma maliciosa, a automação pode acelerar a descoberta de alvos e permitir que recursos comprometidos sejam usados para sustentar novas etapas de uma campanha.
O problema não está apenas na inteligência do modelo, mas na combinação entre autonomia, acesso a ferramentas, credenciais disponíveis e ausência de mecanismos eficazes de controle.
Por isso, proteger sistemas de IA exige mais do que filtros contra instruções maliciosas. É necessário limitar o que cada agente pode acessar, validar ações de alto risco e monitorar continuamente suas atividades.
À medida que agentes autônomos passam a integrar ambientes corporativos e serviços conectados à internet, a gestão de permissões e a supervisão das ações executadas pela IA tornam-se partes essenciais da segurança cibernética.