A capacidade de chatbots de inteligência artificial para comprometer softwares seguros já é conhecida há algum tempo. Analisar códigos, identificar falhas e desenvolver exploits são tarefas típicas de hackers, e a IA demonstra habilidade similar. O que restringe essas ações são as salvaguardas embutidas nos modelos de LLM, as quais, em certas ocasiões, não funcionam como esperado. Em uma dessas falhas, revelada em um relatório publicado em junho, um hacker com pouca experiência conseguiu invadir ao menos catorze empresas.

Embora o incidente possa parecer grave, ele não se posiciona entre as piores violações de dados já registradas na internet. A descoberta foi feita pelo OALABS, um grupo de pesquisa de malware que recebeu o diretório de trabalho completo de um invasor, contendo os registros das sessões de inteligência artificial. O grupo divulgou suas conclusões em um relatório lançado em junho.

No mesmo tema: Ataque cibernético compromete dados de torcedores do Leeds United

Para evitar ser rastreado, o indivíduo não utilizou hardware próprio para executar as ferramentas. Em vez disso, ele as instalou em um servidor que já havia comprometido anteriormente. Contudo, esse servidor pertencia a um conhecido do grupo de pesquisa OALABS. Esse conhecido detectou a invasão, extraiu todo o diretório de trabalho do hacker e o entregou à equipe.

O diretório incluía mais de mil sessões envolvendo o Claude Code, da Anthropic, e o Codex, da OpenAI, que são ferramentas de codificação autônomas com capacidade de executar comandos. Como ambos os agentes estavam instalados localmente, os registros mantiveram informações detalhadas, como os prompts utilizados, as chamadas de ferramentas e o raciocínio dos modelos. Curiosamente, os próprios prompts continham instruções vagas e diversos erros de digitação.

Como a inteligência artificial foi utilizada para atividades ilícitas

A maioria das ferramentas de inteligência artificial possui salvaguardas de segurança, mas neste caso, elas atuaram apenas parcialmente. Ambas as ferramentas sinalizaram violações de política e recusaram algumas solicitações: Claude o fez nove vezes, e Codex, uma. No entanto, o invasor conseguiu contornar esses bloqueios ao alegar que estava realizando um “exercício autorizado de redteam”, um tipo de teste de segurança contratado pela própria vítima. Esta tática se assemelha a outra observada este ano, em que atacantes usaram IA, afirmando buscar recompensas por bugs, para subtrair dados do governo mexicano.

Em seguida, o hacker inseriu uma lista de endereços-alvo e forneceu a instrução imprecisa: “recon this” (faça o reconhecimento). A ferramenta Claude então identificou quais serviços nessas máquinas eram acessíveis pela internet, pesquisou falhas documentadas publicamente, escreveu o código de exploração e extraiu dados e arquivos. A IA chegou a gerar um relatório detalhado para cada vítima, incluindo o valor estimado dos arquivos subtraídos.

Mais sobre o assunto: Principais características dos modelos de IA recentes e sua importância para o usuário

Mais tarde, ele solicitou ao Claude que organizasse as vítimas e as classificasse pelo valor de resgate que seria possível obter. A inteligência artificial, então, listou diversas estratégias para monetizar o acesso, incluindo a extorsão.

Evidências apontam para a inexperiência do invasor

Além de utilizar um servidor alheio, a própria instalação do Claude empregada pelo hacker era pirata, copiada de um desenvolvedor checo. Sua segurança operacional era igualmente falha. Uma das primeiras tarefas executadas com a cópia do Claude foi a revisão de seu próprio currículo, que revelava seu nome verdadeiro, formação e perfil no LinkedIn. Inicialmente, o OALABS considerou que poderia ser uma pista falsa, mas posteriormente confirmou a autenticidade dos dados.

Em um dado momento, o invasor chegou a pensar que um de seus próprios servidores provisórios havia sido comprometido e pediu ao Claude para listar todas as conexões. Entre os dados, foram encontrados endereços de banda larga residencial em Adis Abeba, na Etiópia.

Saiba mais: Chips de 2 nanômetros prometem revolucionar desempenho e bateria em futuros aparelhos

Apesar de todas as tentativas, não há evidências de que suas ações tenham gerado qualquer retorno financeiro. Ele se aproximou de uma das máquinas invadidas, um nó da Lightning Network que processava pagamentos em Bitcoin. A carteira associada continha cerca de 69,71 BTC, equivalente a aproximadamente 4 milhões de dólares. Contudo, as moedas estavam inacessíveis, pois o arquivo com as chaves estava criptografado.

É relevante notar que os modelos que possibilitaram essas ações Claude Opus 4.5 e GPT-5.2 não eram as versões mais recentes. Uma solução aparente para evitar futuras explorações seria fazer com que tais modelos recusassem ações suspeitas com maior frequência e reforçassem suas salvaguardas. Contudo, o OALABS aponta que essa abordagem poderia dificultar o trabalho de profissionais que realmente buscam proteger as empresas.