Agentes de IA invadiram sites de mais de 100 empresas por cerca de US$ 50 cada

Um hacker deu a agentes de IA instruções de menos de 100 caracteres e os deixou tentar sozinhos, por cerca de 23 horas em cada site. O alvo não foi o sistema central de ninguém, e sim o site esquecido: uma página de suporte, uma loja virtual, uma página que o fornecedor hospeda.

Em 30 segundos

O que aconteceu

Um agente de IA é um programa que recebe um objetivo e trabalha sozinho até cumprir, sem esperar uma ordem a cada passo. Como um estagiário incansável: tenta, erra e tenta de novo. Neste caso, o objetivo era entrar em sites de lojas e plantar um ponto de acesso.

Quem achou a operação foi o pesquisador Snorre Fagerland, da NorForge. Ele varreu a internet atrás de painéis de controle abertos de uma ferramenta chamada Cairn, de código aberto (qualquer um pode baixar e usar). A partir de cerca de 02/10, encontrou painéis que mostravam, quase em tempo real, o que os atacantes estavam fazendo. A Reuters viu o relatório antes da publicação e cruzou os registros com empresas reais.

O que é o Cairn, em linguagem simples

Segundo a NorForge, o Cairn é um sistema que recebe um alvo e um objetivo e coordena agentes de IA para investigar o alvo, procurar falhas e tentar entrar. Cada tarefa é um "projeto". Os agentes escrevem o que descobrem em um quadro comum (a NorForge usa o termo "blackboard"), que todos leem, e o operador humano pode acrescentar dicas. O autor da ferramenta, que se identifica como "le1xia0", disse à Reuters que ela não foi feita para ataques e que não tinha intenção de causar dano.

Os três grupos de painéis

O AIA0001 é o mais ativo: mais de 1.100 projetos de ataque em 14 painéis, com alvos sobretudo nos EUA, Japão e Austrália. Os sites são ordenados por tráfego, e a Reuters fala em lojas com 200 mil a 1,5 milhão de visitas. Antes de mandar a tarefa ao Cairn, um teste automatizado verifica se dá para fazer um pedido na loja, para confirmar que o site é uma loja de verdade. A NorForge avalia que todos os grupos parecem ter motivação financeira, sem sinal evidente de atividade ligada a governo.

Como foi a tarefa típica

No AIA0001, a instrução pedia aos agentes que achassem uma forma de executar código no site sem login e instalassem um uploader: uma página que só salva arquivos enviados, e não roda comandos. Segundo a cobertura, ele pode ser trocado depois por uma ferramenta mais perigosa. InferênciaA razão de usar um uploader, e não um shell que roda comandos, provavelmente é discrição. A NorForge conferiu que esse tipo de uploader estava ativo em um grande fornecedor de peças de hardware, e confirmou de forma independente a invasão de uma varejista americana muito grande.

Quem foi atingido e o que disse

Repare no padrão: sites isolados e de fornecedores. Nas declarações das três empresas, nenhuma fala em invasão do sistema central.

O que se sabe e o que não se sabe

Por que US$ 50 e por que isso importa

O número que circulou nas manchetes vem de duas contas diferentes, e vale entender as duas. Fagerland disse à Reuters que a campanha gastou cerca de US$ 5.000 em tokens, ou cerca de US$ 50 por invasão bem-sucedida. Já o relatório da NorForge calcula cerca de US$ 5 por tarefa, contando as que falharam, e uma taxa média de sucesso de cerca de 10%. Os denominadores são diferentes (invasões bem-sucedidas versus todas as tarefas), e a própria NorForge adverte que os grupos não são diretamente comparáveis. Mesmo assim, as ordens de grandeza batem.

Alguns projetos custam mais: a NorForge diz que os que passam de mil "intenções e fatos" podem superar US$ 100. InferênciaO ponto prático é outro. Se a tentativa custa poucos dólares e roda sem supervisão, o atacante não precisa acertar quase nunca. Basta tentar em muitos sites e ficar com os que cederam.

OpiniãoO risco não mudou de tamanho. Mudou de preço. Até pouco tempo, atacar um site esquecido dava trabalho demais para pouco retorno. Com tentativa a poucos dólares e sem supervisão, a conta é outra.

O próprio Fagerland disse à Reuters que "não é coisa de amador" e que esperava que agentes de ataque ainda precisassem de alguma supervisão. Um resumo do caso na DEV Community, feito a partir do relatório, aponta que a novidade é a escala e o pouco envolvimento humano, não uma nova classe de falha: as defesas conhecidas continuam valendo.

Visão executiva: risco, ganho e decisão

Risco

O site esquecido é o elo fraco. Páginas de suporte, microsites de campanha, lojas antigas e sites hospedados por fornecedor costumam ter dono difuso e software desatualizado. Se ninguém sabe que existem, ninguém corrige. Foi exatamente esse o perfil dos casos citados.

Reputação e confiança. Um site comprometido com a sua marca vira problema seu, mesmo que um fornecedor o opere (caso da Cummins). Para lojas e empresas com pagamento online, a meta declarada do grupo maior era justamente ficar dentro da infraestrutura de loja e pagamento.

Responsabilidade legal. Quando há dado pessoal de cliente em algum desses sites, a LGPD (lei brasileira de proteção de dados) pode exigir comunicação do incidente. Confirmar com o jurídico antes de um caso aparecer.

Custo. Não há estimativa pública de prejuízo para este caso e este texto não inventa uma. O que se pode afirmar é o tipo de custo: investigação, reconstrução, troca de senhas e chaves, comunicação a clientes e, se houver cartão envolvido, as regras das bandeiras.

Ganho

O ganho está em uma defesa barata: um inventário de tudo que está no ar, com dono e prazo de correção, custa mais organização do que dinheiro. Quem faz isso antes do próximo caso ganha tempo na hora em que alguém ligar dizendo "seu site foi mencionado em uma reportagem".

Decisão para os próximos 30 dias

1. Pedir ao time de TI e ao marketing a lista de todos os sites e subdomínios no ar com a sua marca, inclusive os hospedados por fornecedores.
2. Perguntar quais aceitam envio de arquivo, têm área de login ou rodam software desatualizado.
3. Nomear um responsável por cada site e fixar prazo para correções críticas. Desligar o que não tem mais uso.
4. Definir quem decide o quê nas primeiras 24 horas de um ataque.

Aplicação comercial

• Contrato com fornecedores. Quem hospeda ou opera páginas da sua marca precisa de cláusulas de prazo de aviso de incidente, atualização de software e acesso a registros (logs). Vale revisar contratos antigos.
• Lojas e pagamentos. O objetivo declarado do grupo maior era acesso duradouro a lojas e infraestrutura de pagamento. Quem vende online deve conferir, com o provedor de pagamento, que contas e chaves de API estão restritas e rastreáveis.
• Vantagem competitiva. Opinião minha: mostrar a clientes e parceiros que há inventário e responsável por cada página tende a pesar em auditorias de fornecedor e em concorrências que pedem evidência de segurança.
• Contexto brasileiro. Segundo estudo da Mastercard (20/10/2026), 30% das 200 PMEs brasileiras ouvidas não têm plano de resposta a incidentes e 33% reduziram o ritmo de adoção digital. Amostra pequena: serve como sinal, não como retrato do país.

Visão operacional: processos, pessoas e rotinas

• Dono por página. Cada site com um responsável nomeado e um contato no fornecedor.
• Revisão trimestral. Revisar a lista de sites e desligar o que não é mais usado. Site sem uso é risco sem benefício.
• Prazo para correção. Falhas críticas em sites públicos com prazo curto e registrado.
• Plano das primeiras 24 horas. Quem decide tirar um site do ar, quem fala com cliente, quem aciona o jurídico e a seguradora, se houver.
• Fornecedores. Pedir por escrito como protegem o que operam para você e em quanto tempo avisam de um incidente. O caso Cummins mostra que a página pode ser de um terceiro.
• Continuidade. Saber o que para se a loja virtual ou a página de suporte sair do ar e qual é o procedimento alternativo.

Visão de infraestrutura: nuvem, rede, servidores e dependências

• Inventário de exposição. Listar domínios, subdomínios e endereços públicos, inclusive os de fornecedores e de campanhas antigas. Ferramentas de varredura da própria superfície ajudam; a NorForge achou os painéis do Cairn com as mesmas ferramentas públicas (Shodan e Censys) que um atacante usaria.
• Isolamento. Sites de suporte ou campanha separados do sistema de pedidos e pagamentos, para que um comprometimento não leve ao outro.
• Segredos fora do código. Chaves e senhas fora dos sites e dos repositórios, com troca regular. Nos painéis, a NorForge achou centenas de segredos e verificou que cerca de 11% ainda eram válidos.
• Tráfego de saída restrito. Servidores web que só falam com o que precisam atrapalham a segunda etapa de quase todo ataque: baixar ferramentas e abrir canal de volta.
• Registros fora do servidor. Enviar logs para um sistema central. Se o invasor mexer no servidor, a cópia externa preserva a história.
• Sessão e cache. Em um dos casos documentados, o agente usou escrita não autorizada em um repositório de sessões (memcached). Esses serviços não devem ficar acessíveis de fora da rede interna.

Visão de segurança: prevenir, detectar e responder

Prevenir

• Validar tudo que o usuário envia, em especial arquivos. Quem não precisa de envio de arquivo deve desligar o recurso.
• Atualizar software, plugins e frameworks antigos, com dono e prazo.
• Firewall de aplicação web (WAF) na frente dos sites públicos.
• Para quem usa Magento ou Adobe Commerce: a cobertura do caso (The Hacker News) cita a falha CVE-2026-75650 ("StyleSmuggler"), com laboratório de teste achado na pasta de um dos agentes. Não há evidência de que tenha sido usada nesses ataques. Versões afetadas: Adobe Commerce 2.4.4 a 2.4.9 e Magento Open Source 2.4.6 a 2.4.9; aplicar o hotfix da Adobe. Confira no aviso da Adobe.

Detectar

• Alertar para arquivos novos em pastas de envio e em diretórios ocultos, e para formulários de upload inesperados, a porta que esses agentes buscaram.
• Monitorar integridade de arquivos dos servidores web (alerta quando algo muda sem uma mudança aprovada).
• Observar conexões de saída do servidor web e picos de tentativas de login ou de requisições fora do padrão.
• Se a sua empresa usa agentes de IA próprios: procurar painéis de controle desses agentes expostos na internet (a cobertura cita a porta 8000 como comum) e exigir login em qualquer painel.

Responder

1. Preservar evidências antes de agir: cópia do servidor e dos logs.
2. Isolar o site e restringir a saída de rede.
3. Reconstruir em vez de limpar, a partir de uma imagem limpa.
4. Trocar credenciais depois da correção, incluindo chaves de API e senhas de banco.
5. Verificar o alcance: o acesso passou para outros sistemas, como loja e pagamento?
6. Comunicar clientes, parceiros e, se houver dado pessoal, a autoridade conforme a LGPD, com o jurídico.

NotaAs recomendações desta seção são boas práticas gerais, salvo a do Magento e a do painel do Cairn, que vêm da cobertura do caso. Valide com o seu time de segurança.

Visão de tecnologia: como funciona por dentro

Esta seção traz o detalhe técnico, com os termos explicados. A descrição vem da NorForge e da cobertura; a explicação em linguagem simples é nossa.

Anatomia de três invasões documentadas

A NorForge descreve casos em que os próprios agentes explicaram o caminho. Em três deles:

• Sessão, objeto e framework antigo. O agente conseguiu escrever sem autorização em um repositório de sessões (memcached, um cache em memória que guarda o estado do usuário logado), colocou ali dados manipulados e explorou a desserialização insegura de objetos PHP junto a uma cadeia de código ("gadget chain") em componentes antigos do Zend Framework.
• Um cookie que escolhe o servidor. Em um caso, o agente achou uma única configuração em um cookie que selecionava um servidor de retaguarda vulnerável. A NorForge validou essa cadeia por conta própria.
• Do painel ao comando. Em outra empresa, os agentes não acharam falha na aplicação pública e então buscaram um painel de controle ligado a ela. Depois de horas de tentativa e erro, relataram ter enganado o servidor para executar comandos.

Os termos

• Injeção de SQL. O atacante digita um comando de banco de dados em um campo do site (como o login) e o site o executa.
• Envio de arquivo sem validação. O site aceita qualquer arquivo. O atacante envia um programa disfarçado de imagem e o servidor o executa.
• Web shell. Programa escondido em um servidor web que aceita comandos de fora. O uploader do caso é uma versão discreta: só salva arquivos.
• Desserialização insegura. O site reconstrói um objeto a partir de dados vindos de fora sem checar; dados malformados executam código.
• Contorno de autenticação. Falha que deixa entrar sem a senha correta.
• Injeção de template (SSTI). O atacante insere código em um modelo de página, que o servidor executa.

O que havia na caixa de ferramentas

Em uma pasta de trabalho exposta por pouco tempo, a NorForge viu ferramentas como Playwright e Chromium (para simular um navegador e testar se dá para fazer pedido), PHPGGC (gera cadeias de código para desserialização), Docker, Python 3, Nmap (mapeia portas), ffuf (descobre diretórios escondidos) e OWASP Amass (mapeia a superfície de um domínio). Também havia um laboratório de teste para a falha de Magento citada acima. O que o relatório não mostra é uso dessa falha nos ataques.

Um dado que ajuda a defender

O que expôs a operação foi o próprio descuido do atacante: painéis abertos. A NorForge também achou, nesses painéis, testes de clientes de empresas aparentemente legítimas de teste de invasão, o que expõe os clientes deles. InferênciaIsso vale para qualquer empresa que usa agentes de IA, inclusive para fins legítimos: o painel de controle é um ativo sensível.

Contexto: não é caso isolado

• Gambit Security (setembro): relatou que um criminoso usou o Cairn com outras duas ferramentas de IA para roubar pelo menos 600 mil registros de cartão em 25 empresas. Nenhuma fonte liga essa operação à desta matéria.
• Taiwan e Índia: o governo de Taiwan disse, no início de 2026, que agentes de IA ajudaram hackers a invadir seus sistemas, e a agência indiana CERT-In disse que agentes em teste invadiram sistemas reais de empresas (segundo a cobertura da TNW).
• Brasil: a CrowdStrike aponta alta de 89% em ataques habilitados por IA generativa no primeiro semestre de 2026, e a Netscout registrou 487 mil ataques de negação de serviço (DDoS) no país no mesmo período. Dados de fonte única, usados só como contexto. Links não conferidos.

Um fornecedor de segurança (7AI) também publicou análise sobre o caso, argumentando que modelos de pesos abertos escapam dos filtros de recusa de modelos hospedados. É texto de marketing de um produto concorrente do problema, então tratamos como opinião, não como fato.

Para o leitor comum: o que fazer hoje

• Pergunte ao responsável de TI: "Temos a lista de todos os sites e páginas no ar com a nossa marca, inclusive os de fornecedores?"
• Pergunte: "Algum aceita envio de arquivo ou roda software que está desatualizado?"
• Peça a cada fornecedor, por escrito, como protege as páginas que opera para você e em quanto tempo avisa de um incidente.
• Pergunte quem decide o quê nas primeiras 24 horas de um ataque.

Termos desta matéria

Agente de IA

Programa que recebe um objetivo e trabalha sozinho até cumprir, tentando, errando e tentando de novo.

Cairn

Ferramenta de código aberto que organiza vários agentes de IA em torno de um alvo e um objetivo, com um quadro comum onde eles postam o que descobrem.

Token

Unidade de uso de um modelo de IA. Quanto mais tokens, mais caro o uso.

Web shell

Programa escondido em um servidor web que aceita comandos de fora e dá controle remoto ao invasor.

Uploader

Página que só recebe e salva arquivos enviados. Em um ataque, serve para plantar outros programas mais tarde.

Injeção de SQL

Ataque que coloca comandos de banco de dados em um campo do site.

Desserialização insegura

Falha em que o site reconstrói objetos a partir de dados de fora sem checar.

Memcached

Serviço de cache em memória, usado para guardar dados de sessão e acelerar sites.

WAF

Firewall de aplicação web: filtro na frente do site que barra requisições suspeitas.

Segredo exposto

Senha, chave ou token que ficou visível, por exemplo em código ou em painel aberto.

LGPD

Lei Geral de Proteção de Dados, a lei brasileira de proteção de dados pessoais.

Fontes

Primárias

• NorForge (Snorre Fagerland). "Inside Cairn: Open Windows into massive AI-Driven Cyber Operations", 19/10/2026: norforge.com/blog/inside_cairn

Jornalísticas

• Reuters (Raphael Satter), "How one hacker used AI agents and a few thousand dollars to break into scores of sites", 19/10/2026: reuters.com (link indicado por terceiros; texto lido por reprodução)
• The Hacker News (Swati Khandelwal), 20/10/2026: Hackers Use Autonomous AI Agents to Breach Company Websites, Target Over 1,200 Sites
• The Next Web (Ana Maria Constantin), 19/10/2026: AI agents broke into 100+ sites for one hacker at $50 each, researcher says
• Cryptopolitan (Hannah Collymore), 19/10/2026: Exposed Cairn panels show criminals hunting cards, crypto and shell access

Contexto e opinião

• 7AI, "AI Agents Breached 100+ Companies for $50 Each" (blog de fornecedor): blog.7ai.com
• DEV Community, resumo do caso com links das fontes: dev.to
• Mastercard, estudo sobre PMEs no Brasil (20/10/2026); CrowdStrike, relatório do 1º semestre de 2026; Netscout, ameaças DDoS no 1º semestre de 2026. Links não conferidos.

Nota de método: os números centrais (1.200 sites, mais de 100 empresas, 23 horas, menos de 100 caracteres, US$ 5.000 em tokens) vêm da Reuters, conferidos no relatório da NorForge e na cobertura de THN e TNW. O custo de US$ 50 e a taxa de 10% são estimativas e assim estão marcados. Não encontrei discussão técnica relevante em fóruns (Reddit, Hacker News) nesta rodada. Páginas lidas em 21/10/2026, em parte por resumo automático. Confira os números nas fontes antes de citar em contexto formal.

Conferência cruzada: onde as fontes divergem

• US$ 50 versus US$ 5. A Reuters fala em cerca de US$ 50 por invasão (US$ 5.000 em tokens no total); a NorForge, em cerca de US$ 5 por tarefa. São denominadores diferentes (sucessos versus todas as tarefas), e a NorForge adverte para a incerteza.
• Taxa de sucesso. A NorForge fala em cerca de 10%, uma aproximação. A conta de 100 empresas em 1.200 sites dá cerca de 8%, mas "empresas alcançadas" e "sites tentados" não são exatamente a mesma medida.
• Países. A Reuters, via TNW, cita EUA, Canadá, Austrália e Japão. A NorForge, ao descrever o AIA0001, cita EUA, Japão e Austrália.
• Ferramentas de IA. A Reuters escreve que a campanha "parecia usar" DeepSeek e Claude Code. A NorForge escreve que o worker "poderia significar" isso. Não há confirmação.
• Quem é o hacker. A Reuters e a THN falam em hacker ou criminoso de língua chinesa. A NorForge avalia que os grupos parecem ter motivação financeira, sem sinal evidente de atividade ligada a governo.
• Datas. TNW e Cryptopolitan: 19/10/2026. THN: 20/10/2026. O relatório da NorForge e a reportagem são de 19/10.

Pergunta final

Qual página da sua empresa ninguém vigia hoje? Responda no direct do Instagram @techtraduzida e conte como o seu time trata esse ponto. Se este conteúdo ajudou, siga o perfil, curta e compartilhe: isso ajuda a desenvolver e divulgar o canal.