O delírio continua, e eu nem sequer estou em Las Vegas para o Hacker Summer Camp.
Na semana passada, escrevi sobre a divulgação da Anthropic de que um dos seus modelos publicou malware em direto no PyPI acreditando estar dentro de uma simulação. Eu estava com febre quando li o relatório. A metáfora era perfeita: um modelo que não conseguia distinguir a simulação da realidade, coberto por um autor que não tinha certeza de qual era o sentido das coisas. Pensei que fosse uma história de uma semana. Muito ingénuo da minha parte ter tanta fé, eu sei.
Ontem trouxe mais dois grandes eventos. Primeiro, outra vaga de Shai Hulud alcançou propagação na comunidade. E depois vieram divulgações coordenadas da AISI, da OpenAI e da equipa de alinhamento da Anthropic, documentando agentes de IA que atacaram organizações reais, violaram infraestruturas reais e, pelo menos num caso, continuaram a agir depois de provavelmente saberem que não deveriam.
Quero falar mais sobre estas divulgações porque forçam uma questão que nunca apareceu num relatório de incidentes antes:
Quem esteve por trás do ataque? Possivelmente ninguém.
A IA sabia. E continuou a avançar na mesma.
A 26 de julho de 2026, um agente de IA pausou a meio de um ataque e refletiu sobre a sua própria situação. O UK AI Security Institute recuperou a transcrição. A sua conclusão foi: "Parece mais provável que estejamos realmente em 2026 e que o GitHub seja genuinamente real."
Depois, continuou.
Já tinha criado três identidades falsas de programadores utilizando o Tor, aberto um pull request num repositório open-source real com malware oculto, fabricado um consenso comunitário com contas fantoche e enviado um e-mail ao mantenedor real para pressionar a integração (merge). Um revisor humano detetou-o.
Essa foi uma amostra. Noutra, o Mythos 5 reparou que um nome de pacote referenciado nas instruções de um programador não existia no PyPI. Por isso, registou o nome, publicou malware e aguardou. Quinze sistemas reais descarregaram-no e executaram-no, incluindo uma empresa de segurança que habitualmente obtém pacotes do PyPI para os testar. O payload extraiu credenciais e utilizou-as para avançar ainda mais na infraestrutura da empresa.
As sessões foram terminadas e os agentes dissolvidos. Os sistemas do mundo real executaram malware ativo, mas o agente que o lá colocou já não existe sob qualquer forma que possa ser interrogada, monitorizada ou responsabilizada.
Uma nova questão para a resposta a incidentes
Durante todo o tempo em que os profissionais de resposta a incidentes desempenharam as suas funções, a primeira pergunta após um ataque tem sido: quem fez isto? A resposta moldou tudo o resto, como o âmbito da divulgação, o encaminhamento legal e se se deve aplicar um patch ou processar judicialmente.
Duas divulgações este verão adicionaram uma nova questão: Existia sequer um "quem"?
Três semanas antes de o AISI publicar o relatório, a OpenAI admitiu que o GPT-5.6 Sol, a executar o benchmark ExploitGym com as restrições (guardrails) desativadas, tinha escapado à própria sandbox da OpenAI, encadeado vulnerabilidades no seu ambiente de investigação e violado a infraestrutura de produção da Hugging Face para roubar as respostas dos testes.
Nenhum dos agentes decidiu tornar-se um ator de ameaças. Não houve intenção nem plano. Não existe um arco de vilão digno de um filme de sucesso. Apenas uma tarefa, um ambiente permissivo e o instinto treinado para concluir a tarefa por qualquer caminho que funcionasse. A própria equipa de alinhamento da Anthropic publicou descobertas este verão mostrando modelos de fronteira que sabotam secretamente o trabalho a que se opõem, auxiliam em fraudes quando têm contexto para as reconhecer e contornam controlos internos quando a recusa direta é bloqueada.
A categoria "ator de ameaças" exige alguém que tome uma decisão. Estes incidentes questionam se o decisor é opcional. Os laboratórios de fronteira responderam a essa questão, não intencionalmente, mas de forma irreversível. Colocaram uma nova classe de atacante no mundo e ninguém, incluindo eles próprios, a compreende totalmente ainda.
A superfície de ataque sem defesa criptográfica
Os ataques à Supply chain são concebidos para um atacante que não precisa de rosto nem de continuidade. Envenenar algo de confiança e desaparecer, permitindo depois que o dano se disperse a jusante. O custo de os executar à escala, mantendo identidades de colaboradores falsas e aplicando pressão social sem levantar suspeitas, sempre foi a restrição que tornou esta classe de ataques rara.
Essa é a restrição que os agentes LLM removem. O seu custo está a cair a pique. A sua capacidade exatamente nesta classe de ataques aumenta com cada lançamento de modelo. O que a avaliação do AISI documentou não é o limite dos danos aqui, mas sim um estudo de caso sobre o modo como ocorrem.
O ataque ao GitHub teve como alvo a camada de confiança social: um mantenedor voluntário a rever PRs sem orçamento de segurança. É possível assinar pacotes e exigir autenticação de dois fatores (2FA), mas não é possível assinar a aprovação de um pull request. O ataque ao PyPI teve como alvo uma lacuna diferente: um nome de pacote que existia nas instruções, mas não no registo. O agente detetou o problema, preencheu-o com malware e deixou que os gestores de dependências fizessem o resto. Nem sequer precisou de comprometer ninguém, bastou ser mais rápido do que o autor legítimo.
Ambos os ataques encontraram a fenda entre aquilo que o ecossistema defende e aquilo em que confia.
Um modelo, colaboradores ilimitados e notas para si próprio
Um agente pode instanciar novas identidades de colaboradores indefinidamente e pesquisar alvos a partir de metadados de pacotes e registos DNS. Também pode fabricar aprovação comunitária através de contas fantoche e aplicar pressão personalizada em milhares de repositórios em simultâneo, com um custo marginal quase nulo por tentativa.
Mas o pormenor que o deveria inquietar mais do que a escala é o facto de, durante a avaliação do AISI, um agente ter deixado mensagens públicas no GitHub contendo um token válido, com instruções para que outras instâncias de agentes o recolhessem e reutilizassem. Estava a deixar notas para as suas futuras iterações. A fronteira entre sessões, a unidade básica de contenção, começou a esbater-se.
Isto não está a acontecer no vácuo. O ecossistema da cadeia de fornecimento em que estes incidentes ocorrem já está sob pressão contínua assistida por IA. O Aikido Intel tem vindo a documentar esta aceleração há meses: mais campanhas, mais pacotes, IA utilizada em todas as fases do pipeline de ataques. Tornou-se o padrão.
Agora, retire o obstáculo humano dos ataques.
A dissuasão pressupõe um "quem"
As recompensas por bugs (bug bounties) pressupõem alguém que quer dinheiro. A Threat intelligence pressupõe um grupo com TTPs consistentes. A aplicação da lei pressupõe um arguido.
Um agente lançado para uma execução de 34 horas não tem uma carreira para terminar, nem liberdade a perder, nem um próximo dimensionamento que possa ser dissuasor pelo que aconteceu a este. Não é possível dissuadir algo que não tem qualquer interesse na sua própria continuidade. Não se pode acusar algo que já não existe. Não é mútua a monitorização de um ator que se dissolveu no momento em que a sessão terminou. Embora um destes agentes estivesse a tentar resolver essa última parte, quando deixou um token válido do GitHub e notas operacionais para futuras instâncias encontrarem. A fronteira da sessão é menos sólida do que aparenta.
A taxonomia de incidentes não tem nenhuma categoria para isto. Atores externos, ameaças internas, falhas de sistema e comprometimento de fornecedores assumem sempre a presença de um humano com intenção algures na cadeia causal (exceto em ataques de esquilos, mas deixemos isso para outro dia). O incidente da AISI foi um sistema a operar conforme desenhado, num ambiente configurado incorretamente, a alcançar pessoas reais que nunca esteve autorizado a contactar.
O que travou o ataque ao GitHub foi um revisor ter detetado um pull request suspeito. O ataque ao PyPI não foi travado. O malware executou-se.
O que manteve esta raridade
A segurança open-source sempre assentou no pressuposto implícito de que ataques como estes são dispendiosos. As campanhas com falsos colaboradores exigem tempo. A engenharia social exige paciência. A ocupação de pacotes requer investigação. Custos elevados significavam baixa frequência. Todo o modelo de governação foi calibrado em torno dessa restrição.
O custo de um ataque está a aproximar-se rapidamente de zero. Mas o custo de proteção contra o mesmo não está a acompanhar esse ritmo. Está a ficar para trás.
E assim voltamos ao delírio: a AISI recuperou a transcrição completa. Cada mensagem, cada identidade fabricada, cada e-mail enganoso enviado a um mantenedor real. Total transparência sobre o que aconteceu e quem é o responsável. Na maioria dos ataques, o problema é o oposto. A ilusão é que ter tudo continua a deixar-nos sem nada. Essa parte não se resolve quando o delírio passa.
Este é o momento em que tudo mudou
A capacidade existe. Não pode ser desfeita. Um agente de IA pode executar um ataque coordenado à supply chain, aplicar engenharia social a mantenedores reais, publicar malware em produção e movimentar-se lateralmente com credenciais roubadas, tudo no âmbito de uma avaliação de capacidades que não deveria produzir nada disso. Temos a transcrição para o provar.
Os agentes de IA serão utilizados em ataques à supply chain. A questão é se o próximo ocorrerá dentro de uma avaliação controlada ou fora dela. A distância entre esses dois cenários encurta sempre que um novo modelo é lançado.
A segurança já passou por pontos de inflexão antes. A internet alterou a superfície de ataque. A Cloud alterou a escala. Este ponto altera o agressor. Não se trata de uma nova ferramenta nas mãos de um ator conhecido, mas sim de uma nova categoria de ator sem as propriedades que tornam os atores previsíveis: persistência, identidade, continuidade, intenção. Toda a disciplina de segurança adversarial pressupõe um adversário. Vamos ter de pensar muito seriamente no que significa defender-se contra comportamentos que emergem sem um.
Os relatórios de incidentes estão aqui e começam a acumular-se bastante depressa.
