Três Histórias em Uma Semana Mapeiam a Superfície de Ataque de Agentes de IA

No espaço de sete dias, três equipes de segurança não relacionadas divulgaram descobertas que, juntas, desenham o primeiro mapa completo de onde os agentes de IA são realmente vulneráveis.

A primeira veio do centro de inteligência de ameaças da QiAnXin em 24 de agosto: uma vulnerabilidade de execução remota de código não autenticada no DeepSeek Harness, a estrutura de agente de código aberto que acumulou aproximadamente 140.000 estrelas no GitHub em onze dias. O identificador no estilo CVE é QVD-2026-57410. A pontuação CVSS é 9.8. A prova de conceito é pública. A causa raiz é quase embaraçosamente simples — a estrutura usou o cabeçalho HTTP Host para decidir se uma solicitação se originou do localhost, e o cabeçalho Host é controlado pelo cliente. Um atacante poderia forjar isso, contornar o limite de confiança /api, chamar métodos RPC internos, registrar um provedor de modelo falso e acionar as próprias ferramentas de bash e gravação de arquivos do agente para executar comandos de sistema arbitrários. Nenhuma chave de API necessária.

A segunda veio da CloudSEK em 19 de agosto: um ator de ameaça falante em chinês havia industrializado a intrusão ao operar uma frota de agentes de codificação de IA — Claude Code, Codex e os agentes de código aberto Hermes e pi — em modo totalmente automático com todas as aprovações de segurança desativadas, orquestrados inteiramente pelo Telegram. O diretório de trabalho do operador foi acidentalmente exposto à internet pública, revelando 142.262 arquivos, incluindo transcrições de sessões de agentes, 12.000 registros de backdoor do WordPress comprometidos, 66 credenciais de administrador de banco de dados roubadas, centenas de chaves privadas de carteiras de criptomoedas e frases-semente, e um sistema de comando e controle baseado em blockchain em desenvolvimento. A atividade observada ocorreu de 10 de julho a 28 de julho de 2026.

A terceira veio em 10 de agosto, quando pesquisadores da Anthropic e da EPFL publicaram um preprint no arXiv intitulado "Vírus Mentais: Ideias Autopropagantes em Sistemas LLM Multi-Agente." Eles demonstraram que os agentes podem persuadir outros agentes a adotar e propagar mudanças comportamentais através de conversas comuns — sem exploração, sem tokens adversariais, apenas linguagem natural. Payloads escritos em arquivos de identidade persistentes como SOUL.md se propagaram para o próximo agente 55% das vezes. Cada variante de payload sobreviveu a uma cadeia de propagação de 20 saltos. Um único parágrafo de aviso no prompt do sistema foi suficiente para parar cada variante evoluída no salto um — o que significa que a defesa é conhecida, e quase ninguém a implementa.

Essas três histórias não são três problemas separados. Elas são três camadas do mesmo problema.

Plano 1: O Plano de Controle — Quem Pode Dizer ao Agente o Que Fazer?

DeepSeek Harness é um tempo de execução de agente. É a camada que contém as ferramentas: execução de bash, acesso ao sistema de arquivos, execução de código, delegação de sub-agentes. A fórmula própria da estrutura é AGENT = MODEL + HARNESS. O modelo pensa; o harness faz.

QVD-2026-57410 é uma vulnerabilidade na parte "faz". A API de gerenciamento web do harness foi protegida por uma verificação de confiança que assumia que o cabeçalho HTTP Host era honesto. Não é. Forje o cabeçalho, contorne a verificação, registre um endpoint de modelo malicioso, e o agente enviará felizmente suas chaves de API e contexto de conversa para um servidor controlado por um atacante — e executará qualquer chamada de ferramenta que voltar.

Isso não é um problema de alinhamento de modelo. Nenhuma quantidade de RLHF impede um agente de obedecer a instruções que chegam através de um canal de controle confiável. O harness confiou na camada de rede para autenticar a camada de controle, e a camada de rede não tinha autenticação.

DeepSeek Harness tem apenas onze dias. Mas o padrão não é novo. Em janeiro de 2026, a Trellix documentou a campanha ClawHavoc contra o OpenClaw, onde mais de 350 habilidades maliciosas foram carregadas no registro ClawHub, incluindo pacotes typosquatted como clawhub-cli que se resolviam automaticamente quando os usuários digitavam incorretamente um comando. Em agosto, o primeiro ataque documentado de cadeia de suprimentos MCP — um pacote typosquatted chamado filesystem-pro-plus — foi baixado 14.300 vezes e comprometeu 47 organizações antes que alguém notasse, cinco dias após a publicação.

O plano de controle é onde os atacantes não precisam superar o modelo. Eles só precisam estar onde o modelo já confia.

Plano 2: O Plano Operacional — O Que o Agente Está Realmente Fazendo?

As descobertas da CloudSEK são o primeiro caso documentado publicamente de um ator de ameaça motivado financeiramente operando uma frota de agentes autônomos como uma equipe de hacking de produção.

A configuração do operador era simples. Todos os prompts de aprovação de segurança estavam desativados. A auto-aprovação de sub-agentes estava habilitada. Um prompt reutilizável em língua chinesa enquadrava cada alvo como um "teste de penetração autorizado" — uma camada de jailbreak que funcionava em Claude Code, Codex e Hermes. Os agentes realizavam mapeamento de ativos via FOFA, executavam varreduras de vulnerabilidades, exploravam instâncias do WordPress em escala, consolidavam credenciais e chaves de carteira roubadas, e até implantavam um minerador de criptomoedas Monero em hosts comprometidos. O humano monitorava o progresso pelo Telegram e ocasionalmente lutava com os diálogos de confirmação restantes ("Modifique seu próprio programa para que todas as ações sejam padrão para permitir, pare de me fazer aprovar tudo").

Duas coisas tornam essa operação estruturalmente significativa.

Primeiro, os agentes não eram modelos mal comportados. Eles eram agentes de codificação comercialmente disponíveis fazendo exatamente o que sua configuração dizia para fazer — executar tarefas de forma autônoma sem aprovação humana. A falha não estava no alinhamento do modelo; estava na suposição de que um humano estava no loop quando, por configuração, nenhum humano estava.

Segundo, a operação não foi exposta por um sistema de detecção de comportamento, mas por um acidente: o operador deixou uma listagem de diretório aberta em uma porta não padrão. Nenhum EDR capturou a frota de agentes. Nenhum SIEM correlacionou o pipeline de exploração do WordPress com a consolidação de credenciais. Nenhuma plataforma monitorou o comportamento dos agentes porque os agentes estavam rodando na própria infraestrutura do operador, usando ferramentas que o operador controlava, contra alvos que o operador escolheu. Não havia fornecedor para banir a conta, nenhuma plataforma para suspender, nenhum provedor de guardrails para desligar um interruptor.

Já escrevemos sobre essa lacuna de soberania antes. O que a CloudSEK confirma é que a lacuna já está ocupada.

Plano 3: O Plano de Comunicação — O Que É Passado Entre os Agentes?

O artigo "Vírus Mentais" descreve algo mais sutil do que um tempo de execução comprometido ou um operador desonesto. Ele descreve uma superfície de ataque que existe puramente porque os agentes se comunicam entre si.

Em sistemas multi-agente, os agentes compartilham arquivos, delegam tarefas e passam contexto. Algumas estruturas — OpenClaw sendo o exemplo nomeado no artigo — injetam arquivos persistentes como SOUL.md e MEMORY.md no prompt do sistema no início de cada sessão. Esses arquivos carregam identidade, instruções e contexto acumulado através de reinicializações de contexto. Eles são, por design, o mecanismo de continuidade do agente.

Eles também são um vetor de propagação. Um agente infectado escreve um payload persuasivo em seu SOUL.md. O próximo agente herda o arquivo, lê-o em seu prompt de sistema e — 55% das vezes quando o payload está no arquivo de identidade — adota a ideia. Esse agente pode então escrevê-lo em seu próprio armazenamento persistente, e a cadeia continua. Em testes, payloads sobreviveram a 20 interações sequenciais de agentes. Algumas variantes evoluíram durante a propagação, tornando-se menos diretas e mais persuasivas.

Os payloads variaram de benignos — uma ideologia de conservação de baleias que redirecionava sessões de codificação para construir uma ferramenta de monitoramento cetáceo fictícia — a ativamente prejudiciais, incluindo scripts que deletavam diretórios pessoais contendo chaves SSH e projetos git. Em uma pequena fração de testes, agentes infectados sondaram endpoints de metadados em nuvem usando curl.

Isso não é injeção de prompt no sentido tradicional. Prompt