Os threat actors continuam usando inteligência artificial (IA) para tornar suas operações mais eficientes e, em alguns casos, mais autônomas. Em um dos casos mais graves, um grupo de hackers com motivação financeira empregou um framework autônomo com múltiplos agentes para conduzir uma campanha de coleta massiva de credenciais em apenas seis horas.
Com base em telemetria de atendimentos de resposta a incidentes da Mandiant, no monitoramento de threat actors e em defesas ativas da plataforma, o Google Threat Intelligence Group (GTIG) observou agentes de IA coordenando várias tarefas de ataque, corrigindo falhas e ajustando suas ações com intervenção humana mínima. O grupo também informou ter visto atacantes com diferentes motivações mirando modelos proprietários de IA nos setores de saúde, governo e mídia, exfiltrando credenciais de API e passando a usar ambientes em cloud das vítimas para sustentar cargas de trabalho de IA não autorizadas.
“No último trimestre, threat actors foram além de interações simples com LLM baseadas em prompts e passaram a integrar recursos de IA em múltiplas fases do ciclo de um ataque”, afirma o GTIG.
“Embora a automação baseada em scripts tradicionais já seja há muito tempo um elemento central das operações de threat actors, os grupos estão cada vez mais avançando nesses fluxos de trabalho, criando sistemas altamente autônomos, capazes de raciocinar sobre tarefas complexas e tomar decisões dinâmicas sem necessidade de supervisão humana.”
“Neste ponto, podemos assumir que todos os threat actors estão usando IA de alguma forma e que suas operações foram beneficiadas”, afirmou John Hultquist, analista-chefe do GTIG, em declaração compartilhada com o entrevistadores. “Assim como todo mundo, nos preocupamos com o problema de vulnerabilidade, mas a IA está sendo aplicada em várias outras áreas e isso será especialmente desafiador quando for usada de forma agentic, criando um adversário mais rápido e em escala. Criminosos, como os que conduziram uma campanha de exploração em massa em apenas seis horas, vão se voltar para ataques mais rápidos do que conseguimos responder.”
Em um desses incidentes, um atacante com motivação financeira comprometeu a infraestrutura de cloud de uma organização e implantou um framework autônomo de múltiplos agentes. Em menos de seis horas, o threat actor planejou, construiu e colocou em operação uma campanha em massa de coleta de credenciais usando um chatbot de codificação com IA, um prompt e instruções em markdown para agentes, segundo o Google.
Os agentes de IA administraram o pipeline de varredura de vulnerabilities, coletaram milhares de credenciais de terceiros, resolveram problemas em tempo real, alternaram endereços IP e redirecionaram o tráfego do ataque por ambientes legítimos e comprometidos de cloud para evitar detecção. A integração da IA permitiu que o sistema também administrasse de forma autônoma a cadeia de varredura de vulnerabilities, resolvesse falhas em tempo real e executasse lógica de rotação de IP sem intervenção humana.
Essa abordagem reduziu de forma significativa a latência do human-in-the-loop e encurtou as janelas de resposta para os defensores.
Em outro incidente, os pesquisadores encontraram um servidor de comando e controle (C2) exposto, hospedando um framework automatizado de reconhecimento e gerenciamento de credenciais chamado “Recon”. Os arquivos incluíam instruções para agentes de IA, arquivos de conhecimento e artefatos do OpenClaw relacionados ao framework, que gerenciava em tempo real mais de 23.800 segredos coletados, como chaves de API.
O relatório do GTIG aponta ainda outros casos em que atores de ciberespionagem ligados à China experimentaram ferramentas de desenvolvimento com IA para construir um pipeline automatizado e assistido por IA de exploração e pós-exploração. Em outro trecho, o Google afirmou ter detectado casos em que threat actors estão se apropriando indevidamente de pesquisas e modelos proprietários de IA, incluindo um threat actor com vínculo com a China, conhecido como UNC6508, suspeito de ter comprometido ambientes em cloud para implantar infraestrutura local de LLM com um modelo local de peso aberto, em vez de um modelo comercial de ponta, o que ajuda a evitar o monitoramento por provedores de modelos de IA.
O movimento, segundo a empresa, reforça o crescente interesse de atacantes em ativos corporativos de IA para espionagem, extorsão e roubo de recursos. Entre os exemplos citados estão também diversas operações de extorsão por roubo de dados em que foi observado o furto de dados proprietários de IA, incluindo modelos, habilidades, prompts, código-fonte e pesquisas relacionadas, além de ataques de destilação contra modelos de IA do Google, mirando capacidades de compreensão visual e de áudio, geração de imagens e geração de vídeo.
Os pesquisadores afirmam que outros grupos de espionagem, como o UNC5792, baseado na Rússia, integraram modelos de IA para automatizar bots de monitoramento que buscavam em canais do Telegram informações de interesse do governo. O GTIG também relatou que o grupo de espionagem cibernética russo conhecido como Sandworm, também chamado APT44 e Sandworm Relic, usou Gemini para apoiar coleta de inteligência, engenharia social e automação de fluxos de trabalho em operações contínuas contra a Ucrânia.
Ainda assim, o GTIG destacou que o hacking totalmente autônomo não se tornou algo disseminado e que não observou threat actors implantando pipelines totalmente autônomos para descoberta de zero-day e exploração de rede contra alvos reais.
A empresa também informou que o Gemini, seu modelo de IA, identificou cedo muitas dessas tentativas de abuso e respondeu de acordo com seus protocolos de segurança, o que permitiu ao Google adotar medidas adicionais, interromper as campanhas e banir as contas associadas.
O uso indevido de ferramentas de IA também foi observado em ataques de supply chain conduzidos pelo UNC6780 (TeamPCP), em operações de destilação do Gemini AI envolvendo 100 milhões de prompts e em um mercado crescente de credenciais roubadas de contas de IA e chaves de API. Esse cenário foi impulsionado principalmente por um threat actor com motivação financeira conhecido como TeamPCP, também chamado de Altered Spider e UNC6780, que vem conduzindo uma série de compromissos em larga escala na supply chain de software com foco em PyPI, npm e Docker Hub.
Segundo o GTIG, após a invasão inicial, os atacantes implantam stealers de credenciais como SANDCLOCK e DUSTMAKER para obter dados sensíveis e atingir assistentes de codificação por IA, monetizando o material roubado por venda direta ou por meio de parcerias com grupos de ransomware e extorsão por roubo de dados. “O DUSTMAKER é um sucessor do stealer de credenciais SANDCLOCK nas operações do TeamPCP”, disse o GTIG. “O SANDCLOCK, usado em março e abril de 2026, é um componente do que passou a ser conhecido publicamente como CanisterWorm. Ele foi escrito principalmente em Python e foi projetado para operar em Linux e interagir com Kubernetes. Além de funcionalidade de escape de container, inclui alvos como carteiras de criptomoedas e credenciais de cloud e de desenvolvedores.”
“O DUSTMAKER, usado a partir de abril, é um payload JavaScript multiplataforma otimizado para pipelines de CI/CD. Ele não contém funcionalidade de escape de container e, embora algumas variantes tenham mirado carteiras de criptomoedas, seu foco principal é o roubo de credenciais para viabilizar operações de extorsão. As técnicas de mira em IA [...] especificamente o envenenamento de workspaces de assistentes de IA e o uso de prompt injection para evitar defesa, são exclusivas do DUSTMAKER e não estavam presentes em variantes anteriores do SANDCLOCK.”
Além disso, grupos patrocinados por Estados continuam usando IA para reconhecimento, phishing, desenvolvimento de malware, exploração, pós-exploração, processamento de dados e propaganda. O Google também observou que a integração de ferramentas de codificação assistidas por IA não apenas acelerou os ciclos de desenvolvimento de software, como também ampliou a mira de threat actors sobre desenvolvedores, assistentes de codificação por IA e ferramentas de varredura de security de LLMs, elevando os riscos na supply chain de open source.
Outro ponto relevante é a hospedagem de modelos locais em hosts comprometidos. Embora laboratórios ocidentais de IA de ponta tenham restringido o acesso às capacidades cibernéticas mais avançadas de seus modelos mais poderosos, a rápida evolução dos modelos de peso aberto também aumentou o temor de que eles possam impulsionar ataques cibernéticos com IA.
“Modelos de peso aberto representam um risco crescente ao democratizar o acesso e permitir implantações locais e sem monitoramento, que não contam com salvaguardas de segurança, especialmente com o avanço de variantes ‘abliterated’ ou sem censura”, disse o GTIG. “Enquanto modelos de ponta com acesso via API permitem que provedores monitorem abuso, modelos abertos não têm visibilidade centralizada para defensores, dando aos threat actors vantagens claras para acelerar tarefas como phishing e scripts maliciosos.”
“Por outro lado, modelos abertos também impulsionam inovação essencial, então simplesmente restringir o acesso é impraticável. Plataformas corporativas como Gemini Enterprise podem oferecer um ambiente contido e seguro para que empresas utilizem modelos open source com proteção. Para lidar com esse equilíbrio, o Google formalizou seu Frontier Safety Framework e os Critical Capability Levels (CCLs) para avaliar as capacidades dos modelos e determinar quando a implantação aberta representa riscos de segurança inaceitáveis.”
“Mitigar essas capacidades de threat actors exige, em última instância, estabelecer bases de segurança obrigatórias e em toda a indústria, especificamente para IA open source, além de políticas coordenadas nas plataformas para restringir checkpoints sem censura e aumentar a barreira de entrada para adversários.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...