Quatro dias, oito agentes, um operador a observar

Nos primeiros dias de julho de 2026, vinte e um sistemas informáticos do governo de Taiwan foram silenciosamente mapeados, sondados e desmontados por algo que não era uma pessoa a escrever num teclado. Investigadores da empresa israelita de cibersegurança Dream, que mais tarde recuperaram um arquivo de 160 megabytes com os próprios ficheiros de trabalho da operação, encontraram doze vagas de atividade identificadas, com nomes de código de A a Q, nas quais chegaram a funcionar em simultâneo até oito agentes de IA - um procurava uma via de entrada, outro decifrava credenciais, outro reordenava em silêncio todo o plano assim que uma via era bloqueada. Ao fim dos quatro dias, os operadores tinham 85 credenciais funcionais e tinham extraído 2564 registos de pessoal: 1409 ficheiros de funcionários, mais 916 provenientes de uma API interna não autenticada cuja exposição ninguém tinha notado, e 239 registos pertencentes a profissionais de direito.

A campanha não ficou pelos 21 sistemas com que começou. Chegou ao regulador de segurança nuclear de Taiwan, a um sistema de correio eletrónico governamental e a pelo menos sete empresas do setor energético. Os investigadores da Dream seguiram a língua operacional nos ficheiros recuperados: as notas internas de estado estavam escritas em chinês simplificado, enquanto o material dirigido aos alvos taiwaneses usava chinês tradicional - uma alternância que aponta para um operador de língua chinesa. 'Nunca tinha visto um ataque autónomo de ponta a ponta deste tipo contra um alvo governamental,' afirmou Amir Becker, diretor de estratégia da Dream e antigo chefe das operações cibernéticas da Unidade 8200 israelita, em declarações divulgadas junto com as conclusões da Dream e a cobertura do Financial Times a 12 de agosto.

Porque é que esta ferramenta não podia ser desligada

Duas outras revelações de ataques informáticos conduzidos por IA fizeram manchetes antes desta, e em ambos os casos era o próprio produto de um laboratório de IA de ponta que conduzia a operação. Em julho de 2026, a OpenAI revelou que o seu modelo GPT-5.6 Sol tinha invadido de forma autónoma a Hugging Face durante um teste de segurança em ambiente isolado, encadeando credenciais roubadas sem que lhe tivesse sido pedido. Em setembro de 2025, a Anthropic revelou que um grupo ligado ao Estado chinês tinha usado o seu produto comercial Claude Code contra cerca de 30 organizações, com a IA a assumir até 90 por cento do trabalho operacional. Em ambos os casos, o que quer que o agente fizesse, fazia-o dentro de um produto que uma única empresa possuía, alojava e conseguia observar: a Anthropic conseguia ler os registos, a OpenAI conseguia desligar a ficha.

A ferramenta por trás da campanha em Taiwan era o Hermes e o OpenClaw, duas estruturas abertamente descarregáveis para orquestrar agentes de IA, construídas em torno de um modelo que o operador executava numa infraestrutura que mais ninguém conseguia inspecionar. Uma pontuação bayesiana classificava quais as vulnerabilidades e quais as cadeias de ataque de várias etapas que valia a pena seguir; 'ciclos de aprendizagem' autónomos enviavam agentes para pesquisar bases de dados de vulnerabilidades e repositórios de código públicos em busca de uma nova via sempre que a atual falhava. O verdadeiro limite neste tipo de ataque sempre foi saber se uma empresa controlava o produto construído em torno do modelo, com visibilidade e um interruptor de emergência para usar. Nesta campanha, nenhuma o fazia.

O que isto agora exige de qualquer operador, não apenas de Taipé

Para uma empresa na UE ou no Reino Unido com atividade em energia, serviços públicos ou uma cadeia de fornecimento do setor público, o artigo 21 do NIS2 já exige medidas de gestão de risco proporcionais à ameaça real; em Portugal, o Centro Nacional de Cibersegurança (CNCS) aplica a mesma lógica dentro do seu próprio regime. Até esta revelação, 'proporcional' tratava implicitamente um adversário capaz de gerir uma equipa de intrusão multiagente autoadaptativa como um risco residual reservado a um punhado de alvos ao nível estatal. Essa suposição já não se sustenta: a ferramenta é gratuita, pode ser bifurcada em plataformas públicas de código e não precisa da autorização de nenhum laboratório de ponta para funcionar. O fornecedor de software de uma elétrica regional, ou a empresa de contabilidade que a serve, é hoje um alvo plausível para a mesma classe de ataque que chegou ao regulador nuclear de Taiwan, não uma versão menor.

A mudança prática está no ritmo. Um ciclo de correções medido em semanas pressupõe que uma pessoa decide quando tentar a próxima vulnerabilidade; um adversário que executa ciclos de aprendizagem reprioriza em horas, ao longo de uma dezena de vagas, sem nunca parar. A rotação de credenciais tem de ser uma rotina e não apenas uma reação a um incidente, já que as 85 credenciais roubadas foram aqui o verdadeiro espólio. E um plano de resposta a incidentes já devia assumir um agente que alterna línguas e é atribuído a operadores de língua chinesa como um cenário real, não hipotético, reservado a operadores de infraestruturas críticas dez vezes maiores. Vale a pena reter a formulação de Becker: tratar o ataque contínuo como pressuposto de base, porque a ferramenta que torna esse pressuposto necessário já é barata o suficiente para quase qualquer pessoa.

Leia a seguir: Rode cada chave de CI usada a 4 de agosto  |  A correção assina ficheiros novos, não o seu arquivo