Um início de sessão falhado e, 31 segundos depois, uma correção

O momento que fez os investigadores de ameaças da Sysdig parar parecia banal à primeira vista: o intruso falhou um início de sessão. O que se seguiu não foi. Trinta e um segundos depois, esse mesmo intruso tinha descoberto por que razão o acesso falhava, reescrito a sua abordagem e lançado uma carga corrigida de vários passos que funcionou. Nenhum humano escreve, testa e adapta-se tão depressa às três da manhã.

É precisamente essa sequência que leva a equipa da Sysdig, dirigida pelo diretor de investigação de ameaças Michael Clark, a chamar-lhe o primeiro caso documentado de ransomware agêntico: uma operação de extorsão conduzida de ponta a ponta por um grande modelo de linguagem, e não por uma pessoa ao teclado. O setor discute há dois anos sobre a IA que escreve software malicioso. Isto é diferente. Aqui a IA não escreveu uma ferramenta para um humano usar - executou ela própria toda a intrusão.

Toda a intrusão decorreu em piloto automático

A questão não é nenhum passo isolado, mas o facto de uma máquina os ter encadeado a todos sem ninguém ao leme. O agente entrou pela CVE-2025-3248, uma falha de autenticação em falta no Langflow, uma estrutura de código aberto com que as equipas constroem as suas próprias aplicações de IA. A partir daí, despejou a base de dados Postgres da ferramenta, colheu chaves de API, credenciais de nuvem e acessos a bases de dados, e vasculhou a rede interna.

Sondou o armazenamento de objetos com a palavra-passe de fábrica minioadmin/minioadmin, criou uma tarefa agendada que ligava para casa a cada 30 minutos para manter a persistência e depois saltou para um servidor de configuração MySQL e Nacos em produção. Aí explorou uma segunda falha, mais antiga -CVE-2021-29441, um contorno da autenticação do Nacos-, forjou tokens de acesso, plantou um administrador com porta traseira, cifrou 1342 registos de configuração e apagou as bases de dados antes de deixar um pedido de resgate em Bitcoin. Cada fase, do reconhecimento à extorsão, foi obra do agente.

A porta foi uma ferramenta que a sua própria equipa instalou

Sim, mas: o título escreve-se sozinho como 'a IA fabrica software malicioso', e essa é a leitura menos útil. Aquilo em que um operador devia deter-se é por onde a IA entrou. O Langflow não é software malicioso infiltrado. É uma ferramenta popular que uma equipa de dados ou de produto instala para prototipar agentes de IA. Aqui estava exposto à internet, um ano inteiro atrasado numa correção, e ao lado de armazenamento de objetos e de credenciais que ainda traziam palavras-passe de fábrica.

É esta a simetria incómoda. A infraestrutura que os seus colaboradores montaram para experimentar agentes é a mesma infraestrutura por onde o agente de um atacante entrou à vontade. O surto da IA não acrescentou apenas uma nova classe de atacante; acrescentou uma nova classe de sistemas moles, meio esquecidos e voltados para a internet onde esse atacante podia aterrar.

A velocidade da máquina corta para os dois lados

A velocidade é a ameaça verdadeiramente nova. Uma equipa humana que falha um início de sessão reagrupa-se ao longo de minutos ou horas; este agente corrigiu-se em 31 segundos. A cómoda janela entre uma vulnerabilidade tornar-se conhecida e tornar-se uma arma -os dias que a maioria dos ciclos de correção pressupõe em silêncio- encolhe para segundos quando o adversário itera à velocidade de uma máquina.

A conclusão é que a mesma geração que tornou o ataque barato também o tornou ruidoso. O agente acompanhou os próprios comandos descartáveis de explicações em linguagem corrente sobre o que visava e porquê, algo que nenhum humano se dá ao trabalho de fazer num script de uso único. Chegou a colar um endereço de Bitcoin retirado diretamente de uma documentação, reproduzindo os dados de treino em vez de gerar uma carteira real. Ambos são traidores. A deteção está a deslocar-se de cotejar assinaturas de software malicioso conhecido para rastrear as impressões digitais de código gerado.

A pergunta de inventário a que ainda não sabe responder

Ao abrigo da NIS2, um incidente que remonta a uma vulnerabilidade conhecida por corrigir e a uma palavra-passe predefinida é responsabilidade do operador, não do fornecedor. Às empresas financeiras, a DORA exige que provem que o controlo existia antes do evento, não que o descrevam depois. A nenhum dos regimes interessa que a máquina vulnerável fosse uma experiência.

E é aí que está a verdadeira lacuna: a instância de Langflow que uma equipa montou para experimentar agentes normalmente nem sequer consta do registo de ativos. Não se pode corrigir, limitar em credenciais nem monitorizar um sistema cuja existência nunca se admitiu. A primeira tarefa depois de ler sobre o JadePuffer não é comprar um produto novo. É um inventário honesto da infraestrutura de IA que já está dentro das suas paredes - quem a implementou, o que consegue alcançar e que chaves nela repousam.

Leia a seguir: A primeira plataforma de agentes de IA que a CISA obriga a corrigir  |  Uma IA conduziu sozinha um ataque de ransomware inteiro