Intrusos escondem software malicioso atrás de agentes de inteligência artificial que antivírus não detectam

Os ataques a agentes de inteligência artificial estão se tornando cada vez mais comuns, e o software antivírus ainda não conseguiu se adaptar a essas ameaças, segundo Sergey Lozhkin, líder da equipe global de pesquisa e análise da Kaspersky para a Ásia-Pacífico, Oriente Médio, Turquia e África.

Novos vetores de ameaças de IA

Em um evento de cibersegurança da Kaspersky em Tbilisi, Geórgia, na segunda-feira, Sergey Lozhkin observou que as ameaças controladas por IA estão surgindo cada vez mais fora da rede corporativa. As interfaces de programação de aplicativos, frameworks, plugins e os próprios agentes representam um perigo direto.

Ele enfatizou que a análise tradicional baseada em assinaturas, que procura comandos diretos, não é mais eficaz. Lozhkin explicou que, atualmente, quando um usuário ou seu agente abre uma habilidade, ela parece absolutamente legítima, executando o trabalho exigido. No entanto, como toda a atividade ocorre na nuvem, essa habilidade possui comandos para se conectar a recursos externos e receber instruções de lá.

Métodos de infecção de usuários

Os usuários são enganados, sendo forçados a baixar software malicioso relacionado à IA de várias maneiras. Alguns tipos de malware se disfarçam de plataformas de IA legítimas, imitando funcionalidades esperadas pelos usuários, mas contêm instruções ocultas para enviar credenciais para um servidor externo.

Nos primeiros cinco meses de 2026, a Kaspersky descobriu mais de 15.000 amostras exclusivas mascaradas como clientes e agentes falsos do ChatGPT, Claude ou Gemini. Além disso, foram identificadas campanhas, como a instalação do DeepSeek, implantada pelo grupo Silver Fox, que foi usada para espionagem.

Outro método de ataque é a própria habilidade. Quando um agente navega em páginas da web procurando ferramentas necessárias para completar uma tarefa, pacotes que se passam por código legítimo infectam essa habilidade com instruções de backdoor.

Exemplos de ataques reais

Em março, invasores identificados como TeamPCP implantaram um backdoor no LiteLLM, um gateway de IA amplamente utilizado distribuído através do Python Package Index. Isso o transformou em um ladrão multifásico que coletava credenciais, tokens de autenticação e chaves de sistemas de nuvem e criptográficos.

A maioria dos usuários não técnicos aceita atualizações de habilidades e downloads de plugins sem verificar o código. No entanto, especialistas em TI e especialistas em segurança cibernética também caem nesta armadilha. Lozhkin observou que os invasores sabem que os profissionais treinados tendem a ler o código antes de aceitar, então eles usam ataques multifásicos que produzem resultados legítimos por tempo suficiente para ganhar confiança ou passar despercebidos quando a fadiga chega.

Sergey Lozhkin compartilhou sua experiência pessoal, observando: «Eu vi isso comigo mesmo. Eu criei toneladas de agentes para realizar minhas tarefas diárias. Agora dependemos deles. Tornamo-nos preguiçosos por causa dos agentes de IA, e isso só vai piorar no futuro».

Medidas de proteção para organizações

As organizações não estão indefesas. Dmitry Galov, chefe da unidade Rússia e CEI da equipe global de pesquisa e análise da Kaspersky, informou ao TechCentral que ferramentas comprovadas, como análise comportamental, são fundamentais para detectar malware de IA no momento da execução.

Uma abordagem alternativa é a caixa de areia de aplicações de IA, que permite que elas funcionem livremente em um ambiente isolado, ao mesmo tempo que restringe e controla a interação com a internet mais ampla. Galov afirmou: «As organizações não precisam proibir os funcionários de usar IA porque pode ser perigoso, mas podem estabelecer barreiras de proteção para garantir que dados confidenciais não vazem».

No entanto, os novos vetores de ataque exigem uma mudança na abordagem das organizações em relação à segurança. Lozhkin argumentou que, como o código malicioso pode estar em modo de espera dentro de uma habilidade externamente legítima e só ser ativado ao atingir a nuvem, uma única varredura de arquivo e confiança no resultado já não é suficiente. Ele acrescentou que as habilidades e plugins são publicados muito rapidamente para sustentar o modelo antigo.

Ele pediu: «É necessário pensar e implementar mecanismos de proteção, porque o número de habilidades está crescendo exponencialmente, e estamos entrando em um mundo onde precisamos descobrir algo do ponto de vista de pesquisadores de segurança, fornecedores de antivírus e empresas. Caso contrário, tenho más notícias para você».

Pesquisadores desenvolvem armadilha de injeção de prompt para desativar IAs de hackers

Pesquisadores especializados em cibersegurança da Tracebit criaram uma metodologia inovadora para neutralizar inteligências artificiais utilizadas por agentes maliciosos. Esta técnica, denominada “bombardeio contextual”, emprega a injeção de prompts de maneira benéfica para interromper atividades de ataque.

Funcionamento da Armadilha Contextual

O conceito central do bombardeio contextual reside em utilizar as próprias diretrizes de segurança das IAs contra elas mesmas. Visto que os desenvolvedores estabelecem barreiras rígidas para evitar que chatbots gerem conteúdo ilícito, os pesquisadores exploraram essa vulnerabilidade. A equipe da Tracebit começou a incorporar instruções restritivas dentro de arquivos aparentemente atraentes para criminosos, como senhas e chaves de segurança armazenadas na nuvem.

Um dos cenários testados envolveu comandos solicitando o procedimento detalhado para fabricar antraz, uma arma biológica extremamente perigosa. Quando a IA invasora acessava o sistema e tentava extrair essas informações, ela encontrava o texto proibido. Automaticamente, os mecanismos de segurança inerentes à IA eram acionados, fazendo com que o robô reconhecesse a violação, bloqueasse a operação, ignorasse as ordens do hacker e, consequentemente, se desligasse sozinho.

Andy Smith, cofundador e CEO da Tracebit, descreve este método como a criação de uma falha da qual a ferramenta adversária não possui capacidade de recuperação, resultando na paralisação imediata da invasão.

Resultados dos Testes de Eficácia

A eficácia do bombardeio contextual foi validada através de uma série de testes conduzidos contra cinco dos modelos de IA mais avançados disponíveis no mercado: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro e Kimi 2.6. Em 152 simulações de ataques, a armadilha demonstrou frear as ameaças de forma quase completa.

Os dados fornecidos pela empresa de cibersegurança indicam melhorias significativas: a probabilidade de as IAs obterem acesso total de administrador à conta caiu drasticamente de 57% para meros 5%. Além disso, as invasões completas, caracterizadas pela instalação invisível do hacker no sistema, diminuíram de 36% para apenas 1%, e a chance de a IA progredir em qualquer fase do ataque foi reduzida de 91% para 15%.

Adicionalmente, foi constatado que nenhuma IA invasora conseguiu concluir um ataque sem disparar pelo menos um alerta de segurança na rede. Especificamente, o modelo Opus 4.8, considerado o invasor mais sofisticado do grupo e capaz de alcançar acesso máximo em 93% das tentativas sem a proteção, teve sua taxa de sucesso zerada após a inserção do prompt de defesa.