Os ataques a agentes de inteligência artificial estão se tornando cada vez mais comuns, e o software antivírus ainda não conseguiu se adaptar a essas ameaças, segundo Sergey Lozhkin, líder da equipe global de pesquisa e análise da Kaspersky para a Ásia-Pacífico, Oriente Médio, Turquia e África.
Novos vetores de ameaças de IA
Em um evento de cibersegurança da Kaspersky em Tbilisi, Geórgia, na segunda-feira, Sergey Lozhkin observou que as ameaças controladas por IA estão surgindo cada vez mais fora da rede corporativa. As interfaces de programação de aplicativos, frameworks, plugins e os próprios agentes representam um perigo direto.
Ele enfatizou que a análise tradicional baseada em assinaturas, que procura comandos diretos, não é mais eficaz. Lozhkin explicou que, atualmente, quando um usuário ou seu agente abre uma habilidade, ela parece absolutamente legítima, executando o trabalho exigido. No entanto, como toda a atividade ocorre na nuvem, essa habilidade possui comandos para se conectar a recursos externos e receber instruções de lá.
Métodos de infecção de usuários
Os usuários são enganados, sendo forçados a baixar software malicioso relacionado à IA de várias maneiras. Alguns tipos de malware se disfarçam de plataformas de IA legítimas, imitando funcionalidades esperadas pelos usuários, mas contêm instruções ocultas para enviar credenciais para um servidor externo.
Nos primeiros cinco meses de 2026, a Kaspersky descobriu mais de 15.000 amostras exclusivas mascaradas como clientes e agentes falsos do ChatGPT, Claude ou Gemini. Além disso, foram identificadas campanhas, como a instalação do DeepSeek, implantada pelo grupo Silver Fox, que foi usada para espionagem.
Outro método de ataque é a própria habilidade. Quando um agente navega em páginas da web procurando ferramentas necessárias para completar uma tarefa, pacotes que se passam por código legítimo infectam essa habilidade com instruções de backdoor.
Exemplos de ataques reais
Em março, invasores identificados como TeamPCP implantaram um backdoor no LiteLLM, um gateway de IA amplamente utilizado distribuído através do Python Package Index. Isso o transformou em um ladrão multifásico que coletava credenciais, tokens de autenticação e chaves de sistemas de nuvem e criptográficos.
A maioria dos usuários não técnicos aceita atualizações de habilidades e downloads de plugins sem verificar o código. No entanto, especialistas em TI e especialistas em segurança cibernética também caem nesta armadilha. Lozhkin observou que os invasores sabem que os profissionais treinados tendem a ler o código antes de aceitar, então eles usam ataques multifásicos que produzem resultados legítimos por tempo suficiente para ganhar confiança ou passar despercebidos quando a fadiga chega.
Sergey Lozhkin compartilhou sua experiência pessoal, observando: «Eu vi isso comigo mesmo. Eu criei toneladas de agentes para realizar minhas tarefas diárias. Agora dependemos deles. Tornamo-nos preguiçosos por causa dos agentes de IA, e isso só vai piorar no futuro».
Medidas de proteção para organizações
As organizações não estão indefesas. Dmitry Galov, chefe da unidade Rússia e CEI da equipe global de pesquisa e análise da Kaspersky, informou ao TechCentral que ferramentas comprovadas, como análise comportamental, são fundamentais para detectar malware de IA no momento da execução.
Uma abordagem alternativa é a caixa de areia de aplicações de IA, que permite que elas funcionem livremente em um ambiente isolado, ao mesmo tempo que restringe e controla a interação com a internet mais ampla. Galov afirmou: «As organizações não precisam proibir os funcionários de usar IA porque pode ser perigoso, mas podem estabelecer barreiras de proteção para garantir que dados confidenciais não vazem».
No entanto, os novos vetores de ataque exigem uma mudança na abordagem das organizações em relação à segurança. Lozhkin argumentou que, como o código malicioso pode estar em modo de espera dentro de uma habilidade externamente legítima e só ser ativado ao atingir a nuvem, uma única varredura de arquivo e confiança no resultado já não é suficiente. Ele acrescentou que as habilidades e plugins são publicados muito rapidamente para sustentar o modelo antigo.
Ele pediu: «É necessário pensar e implementar mecanismos de proteção, porque o número de habilidades está crescendo exponencialmente, e estamos entrando em um mundo onde precisamos descobrir algo do ponto de vista de pesquisadores de segurança, fornecedores de antivírus e empresas. Caso contrário, tenho más notícias para você».