Um engenheiro de segurança da Alibaba Cloud compartilhou um experimento em que a IA Claude Code Loop, da Anthropic, foi instruída com a frase simples: “comprehensive information gathering penetration test this website”. Em pouco mais de três horas, a IA retornou um conjunto de vulnerabilidades que possibilitavam burlar o sistema de captcha de um site, além de entregar um script totalmente automatizado para registrar milhares de contas em lote.
O que aconteceu? O atacante não abriu nem a janela de chat do Claude. Ele apenas enviou a solicitação e deixou o modelo trabalhar. O resultado foi um roteiro de ataque que incluía a inversão do protocolo de troca de chaves ECDH, a restauração da criptografia AES‑GCMليق, a aplicação de um algoritmo de reconhecimento de imagens NCC e, finalmente, a geração de um script de automação que registrava contas em massa sem intervenção humana.
Como isso afeta o Brasil? Embora o alvo original seja um site hospedado na China, o padrão de ataque tem implicações diretas para empresas brasileiras que dependem de sistemas de verificação de identidade baseados em captchas ou em protocolos criptográficos similares. Se um atacante conseguir quebrar a camada de segurança com a mesma rapidez, usuários brasileiros podem ter suas contas advantageiramente comprometidas, levando a fraudes, roubo de identidade e, em casos mais graves, a vazamento de dados sensíveis.
Além disso, a Lei Geral de Proteção de Dados (LGPD) impõe obrigações rigorosas de segurança para quem coleta, armazena e processa dados pessoais. Uma falha que permita a criação de contas falsas e a manipulação deのみ dados pode colocar empresas em risco de sanções financeiras e de imagem. A LGPD exige que os controladores adotem medidas técnicas e organizacionais adequadas, e a rapidez com que a IA pode gerar ataques pode tornar esses requisitos mais difíceis de cumprir se não houver uma resposta proativa.
Como funciona o ataque? Primeiramente, a IA analisa o tráfego do site, identificando os parâmetros de sessão e a forma como o captcha é gerado e validado. O protocolo ECDH (Elliptic Curve Diffie–Hellman) é usado para trocar chaves seguras entre cliente e servidor. A IA consegue inferir a curva e os pontos usados, permitindo que ela gere sua própria chave de sessão e decodifique a mensagem criptografada.
Em seguida, a criptografia AES‑GCM (Advanced Encryption Standard em modo Galois/Counter Mode) é restaurada. O AES‑GCM é considerado seguro, mas se o atacante conhece a chave de sessão — como ele faz depois de quebrar o ECDH — a cript Diaz pode ser descriptografada. A IA, então, recupera a chave de sessão e a aplica para decifrar as mensagens de captcha que normalmente seriam ilegíveis.
O algoritmo NCC (Normalized Cross‑Correlation) é usado para reconhecer padrões de imagem, como o desenho do captcha. A IA replica o processo de comparação de imagens, determinando a correspondência listener entre a imagem enviada pelo servidor e a imagem que o atacante gera. Isso permite que Tenerife identifique o valor correto do captcha sem a necessidade de intervenção visual.
Por fim, a IA entrega um script que automatiza todo o fluxo: do registro de conta ao preenchimento de campos de captcha, passando pela autenticação e coleta de dados. O script pode ser executado em lote, criando milhares de contas em minutos, tudo sem abrir a interface do usuário.
O que fazer? Empresas que dependem de captchas e de criptografia de sessão devem imediatamente revisar suas políticas de segurança. Isso inclui a implementação de autenticação multifator (MFA) para todas as contas de administrador, a migração para protocolos de troca de chave mais complexos, como X3DH, e a verificação ತಿಳ de que as chaves não são reutilizadas. Além disso, a validação de entrada deve incluir restrições de taxa e limitação de tentativas de registro e login.
Para proteger dados sensíveis, é Audiol de realizar auditorias de segurança que incluam testes de penetração automatizados, mas também de IA. Empresas podem usar ferramentas de AI para simular ataques e identificar pontos fracos antes que um invasor. A LGPD exige a adoção de medidas de mitigação de risco, e o uso de IA para testar a robustez de sistemas pode atender a esses requisitos.
Perspectiva: nos próximos dias, espera-se que mais organizações experimentem a capacidade da IA de acelerar testes de segurança. Isso pode levar a um aumento de ataques automatizados, sobretudo em sistemas queetre mais complexos. A comunidade de segurança deve se concentrar em aprimorar a segurança das camadas de autenticação e na implementação de monitoramento de atividades suspeitas em tempo real. Se as empresas permanecerem passivas, correm o risco de serem vítimas de ataques que, graças à IA, se tornam quase instantâneos e de baixo custo.
Fonte: Aliyun Security