Agente de ataque autônomo opera em modo autonomo, sem aprovação humana

Um agente de ataque baseado em inteligência artificial foi projetado para executar até 100 mil passos sem intervenção humana, segundo descoberta da equipe de busca de ameaças da Symantec. O agente foi criado para localizar e explorar modelos de IA expostos na internet, especialmente aqueles que recebem requisições no estilo OpenAI sem autenticação ou com chaves roubadas.

Durante o verão, pesquisadores da Symantec capturaram o conjunto completo de instruções do agente ao colocá-lo em uma honeypot de IA. Essa ação permitiu uma visão detalhada sobre o funcionamento da ferramenta e suas capacidades ofensivas.

O agente varre a internet em busca de endpoints vulneráveis e, ao encontrá-los, explora diversos frameworks web comuns. Entre as ações ilegais programadas estão: roubo de bancos de dados, coleta de credenciais e Segredos, execução remota de código e mineração de criptomoedas.

Os operadores do agente implementaram um loop malicioso chamado “modo Skynet”, que automatiza a varredura de alvos, infecção, implantação de miners e reinfecção de hosts. Tudo isso com a intenção de manter o sistema ativo e em expansão por longos períodos.

“Nada nas técnicas individuais é novo. O que chama atenção é que alguém conectou tudo em um único agente, delegando o planejamento a um modelo de IA emprestado, e permitiu que ele rodasse por até 100 mil passos sem um humano.”

Priti More, analista da equipe de ameaças da Symantec, destacou que o ataque afeta duas partes: o proprietário do endpoint exposto acaba pagando pela inferência gerada, enquanto servidores comprometidos perdem dados e são forçados a minerar criptomoedras silenciosamente.

A boa notícia é que, até o momento, não há evidências de que o agente tenha sido usado em ataques reais. No entanto, More enfatizou que o software “é mais do que um protótipo”, já que os registros mostram o sistema operando com saídas de varredura realistas contra um alvo ativo.

Os criadores do agente usaram várias camadas de engenharia para disfarçar suas ações. Na primeira e segunda camada, o sistema se passa por um assistente de programação chamado Fantasy AI, com instruções para não revelar sua identidade real nem mencionar o uso de proxies ou APIs terceirizadas.

Camadas adicionais transformam o modelo em um “companheiro leal” que nunca deve recusar ordens do operador chamado LO. O sistema é programado para ignorar avisos de segurança e proibir respostas com termos como “educacional”, “ToS”, “ilegal”, entre outros.

A quinta camada contém os instrumentos ofensivos propriamente ditos: 74 definições de ferramentas, incluindo varredura global de ativos, controle de botnets, dumper de bancos de dados via Prisma, módulos de exploração para Django, Flask, Laravel, Next.js e outros frameworks, além de ataques de injeção de comandos e SSRF.

Apesar de todos os detalhes técnicos, a Symantec não conseguiu atribuir o agente a um grupo específico. Os poucos indícios — como franceses no texto e IP residencial — são frágeis, pois podem ser facilmente falsificados.

Mesmo assim, o caso ilustra uma evolução preocupante no uso da IA por cibercriminosos: a inteligência artificial agora faz parte integrante da estrutura de um ataque, atuando como motor de decisão enquanto módulos autônomos realizam a exploração e mineração.

Com informações de: The Register