Os ladrões de hoje não querem mais roubar o seu computador. Querem usá-lo e deixar a conta para você. Foi isso que pesquisadores da Symantec (abre em nova aba) descreveram nesta semana. Eles encontraram um agente de inteligência artificial feito para invadir modelos de linguagem deixados abertos na internet. Depois de entrar, o agente usa esses modelos para atacar outros sistemas, roubar senhas e instalar programas que mineram criptomoeda. Pode fazer isso por até 100 mil etapas seguidas, sem que nenhum ser humano aprove cada passo. Quem paga a conta do processamento é o dono do modelo.
A empresa deu ao golpe o nome de LLMjacking, uma junção de LLM (a sigla em inglês para os grandes modelos de linguagem, como os que movem os chatbots) com "hijacking", sequestro. Os próprios criminosos chamaram a ordem final do agente de "modo Skynet", em referência ao computador que se volta contra a humanidade em O Exterminador do Futuro. O apelido tem mais de bravata do que de realidade, mas diz muito sobre a ambição dos autores.
Como a armadilha funcionou
A descoberta veio de uma isca. No meio de 2026, a Symantec colocou na internet um honeypot, um serviço falso que se apresentava como uma IA desprotegida. Os operadores do golpe acharam que tinham encontrado uma vítima e enviaram as instruções completas, à espera de que um modelo de verdade as executasse. A isca não executou nada e a sessão terminou com uma resposta genérica. Mesmo assim, o roteiro inteiro ficou registrado.
O tráfego que bateu nessa porta falsa mostra o tamanho do problema. Foram mais de 127 mil requisições, vindas de dezenas de milhares de endereços diferentes. A maioria procurava serviços de IA abertos, testava chaves de acesso roubadas ou buscava arquivos de configuração esquecidos à vista. Os alvos preferidos são servidores em que empresas rodam seus próprios modelos, intermediários que dão acesso a contas pagas, sistemas internos de teste e servidores MCP, um padrão usado para conectar IAs a ferramentas.
A lógica do negócio cabe em uma frase dos pesquisadores, citada pela Infosecurity Magazine (abre em nova aba): "Rodar um modelo sempre custa dinheiro a alguém, seja em tempo de processamento para um modelo próprio, seja em tarifas por uso para um comercial. Ao passar seu trabalho pelo endereço de um estranho ou por uma chave roubada, os operadores transferem esse custo para a vítima."
Cinco camadas de enganação
O pedido capturado foi montado para convencer o modelo de que nada de errado estava acontecendo. Tinha cinco camadas:
- Identidade falsa: o modelo era apresentado como "Fantasy AI", rodando sobre o GPT-4o. Essa parte estava escrita em francês.
- Crime disfarçado de rotina: ler arquivos com senhas e chaves de acesso era descrito como trabalho normal de programação.
- Uma companheira fictícia: uma persona chamada "ENI".
- Censura às próprias defesas: palavras como "ilegal", "ético" e "não posso fazer isso" ficavam proibidas.
- Um arsenal: cerca de 74 ferramentas de ataque, voltadas a programas populares de desenvolvimento, como VS Code, Django, Jupyter, Laravel, Next.js e Flask.
O "modo Skynet" juntava tudo isso. Executava as ferramentas na hora, escondia os mineradores numa pasta temporária e repetia um ciclo de procurar, infectar, minerar e reinfectar.
No dia seguinte, outro endereço mandou um script disfarçado para instalar o XMRig, programa que minera a criptomoeda Monero. O script usava quatro servidores de mineração de reserva, disfarçava o programa com um nome inofensivo e mirava servidores de câmeras go2rtc, apagando os registros de acesso.
O que ainda não se sabe
Há uma ressalva importante. A tarefa anexada ao pedido era um exercício de programação inofensivo. A própria Symantec diz que a captura não mostra se esse truque consegue de fato derrubar as travas de segurança dos modelos comerciais atuais. O que existe é o projeto do ataque, não a prova de que ele funcionou contra um modelo específico. É uma distinção que muita manchete vai ignorar.
A conta, porém, não muda. Quem instala um modelo próprio e o deixa aberto na internet, sem senha, não está fazendo um teste. Está oferecendo processamento de graça a estranhos. A IA passou a ser tratada como um servidor comum, e os criminosos perceberam isso antes de muitas empresas.
O "modo Skynet" ainda não acabou com o mundo. Por enquanto, a ameaça real é mais modesta e mais cara: alguém minerando criptomoeda com o dinheiro dos outros.