A IA parou de ajudar hackers: agora faz o trabalho sozinha

No dia 10 de setembro a Anthropic publicou um relatório de 154 páginas sobre como as pessoas tentaram usar seus modelos para o mal. Dentro dele estão dezenas de operações que a empresa encontrou e derrubou entre dezembro de 2025 e agosto de 2026, em sete áreas de dano: operações cibernéticas, operações de influência, vigilância, golpes, biologia, armas convencionais e cópia ilícita de modelos.

Li tudo. É o documento mais honesto sobre IA que vi este ano, e também o mais desagradável. Porque a notícia de verdade não é que a IA ajuda os atacantes. É que a IA agora faz o trabalho no lugar deles.

A virada que justifica ler o relatório todo#

O quadro antigo era simples. A pessoa pergunta ao modelo como escrever algo malicioso, o modelo recusa ou responde, e a pessoa vai fazer o serviço na mão. Isso acabou. Na maioria das operações descritas aqui a IA não aconselha: ela executa. Sistemas multiagente fazem o reconhecimento, acham a porta de entrada e puxam os dados sozinhos. Ao humano sobram duas tarefas: escolher a vítima e recolher o butim.

A Anthropic descreve isso como a passagem de assistente a orquestrador. O modelo operacional que ela documentou pela primeira vez em novembro de 2025 já se espalhou por todas as classes de ator: serviços estatais, crime organizado e gente agindo sozinha. Frameworks ofensivos públicos como o PentAGI ajudaram, porque entregam a mesma estrutura para qualquer um que baixar.

A campanha russa que reescreve o próprio malware#

O grupo rastreado como GTG-20006, que a Anthropic associa ao Midnight Blizzard, montou um ciclo em que a IA observa como os produtos de segurança reagem e reconstrói e reimplanta o arsenal automaticamente quando ele começa a ser bloqueado.

Isso quebra a economia da defesa. Durante vinte anos o acordo era este: o defensor acha o malware, escreve uma assinatura e o atacante gasta semanas refazendo tudo. Agora refazer leva horas e custa quase nada. O custo passou para o lado do defensor.

Alvos: mais de 20 organizações, em especial ministérios, agências de defesa, missões diplomáticas e fornecedores na Ucrânia e na Europa. Um fio de interesse chama a atenção: drones. Os atacantes exportaram em massa as caixas de e-mail de pelo menos dois fabricantes de componentes e roubaram inteiro um kit proprietário de desenvolvimento para um sistema de visão de drone. Numa autoridade de tecnologia do governo de um país do norte da África eles entraram com um acesso VPN roubado e levaram o banco de dados todo: mais de 300.000 registros de identidade nacional e o registro comercial de mais de meio milhão de empresas.

O crime organizado alcançou os governos#

O caso mais impressionante em escala pura é o GTG-50014, ligado a afiliados da gangue ShinyHunters. Veja o que eles fizeram com agentes:

• baixaram 1,8 milhão de aplicativos Android distintos, descompilaram e varreram tudo em busca de segredos esquecidos no código;
• invadiram um fornecedor de software e chegaram aos dados de cerca de 200 clientes dele;
• extraíram mais de 2.100 conjuntos de tokens do Azure AD em mais de 40 tenants corporativos em cerca de 34 horas, com os agentes fazendo quase todo o serviço;
• numa companhia aérea, chegaram a sistemas com dezenas de milhões de registros de passageiros;
• numa empresa de energia, afirmaram que podiam mudar à distância a corrente de carga de carregadores de carros elétricos instalados nas casas das pessoas.

Leia esse último item de novo. Não é mais uma história de vazamento de dados. É o mundo físico na mão de outra pessoa.

Estudantes, agentes e uma dúzia de falhas de dia zero por mês#

O caso GTG-10007 eu li duas vezes. A operação era conduzida por operadores de língua chinesa, provavelmente em Changsha, na província de Hunan. Dois deles foram identificados como alunos de graduação de uma universidade local, numa faculdade de engenharia de computação e comunicação. Um tinha feito estágio na empresa de segurança Sangfor e estava em processo de entrevistas na QiAnXin.

Eles montaram o que a Anthropic chama de fundição de exploits: uma esteira em que agentes desmontam firmware de equipamentos de rede sem parar, caçam falhas em paralelo e guardam a memória do projeto entre sessões. Um desses fluxos produziu mais de uma dúzia de prováveis achados de dia zero em um único mês.

Um grupo com estudantes dentro. Um mês. Mais de uma dúzia de vulnerabilidades prováveis. Dez anos atrás isso era a produção de uma diretoria de governo inteira.

Uma pessoa contra a Europa política#

Na primavera de 2026 um ativista de língua francesa foi atrás de partidos políticos europeus, veículos de imprensa, think tanks e seus fornecedores. Ele escreveu em Rust um scanner que caçava chaves de acesso expostas em contêineres públicos e depois aprendeu a rotear o próprio tráfego por chaves roubadas, para se misturar à atividade do dono legítimo.

O carro-chefe dele se chamava fafsearch, um motor de doxxing feito sob medida, com esteiras de ingestão, normalização de números de documento e de telefone e lógica própria de ranqueamento. Ele carregou nela dezenas de milhões de linhas, incluindo identificadores de saúde e material de invasões do sistema de justiça, e publicou o resultado como serviços anônimos na dark web. De uma única plataforma de gestão de campanha política ele exfiltrou cerca de 140.000 registros que traziam a opinião política das pessoas.

O novo butim é o acesso à própria IA#

Surgiu uma categoria nova de butim. Chaves de IA valem três vezes: dá para revender, dá para rodar os próprios ataques na conta de outro e dá para se esconder dos investigadores atrás delas.

O GTG-50020, que antes vivia de invasões em hotéis e fintechs (26 gigabytes tirados de uma única vítima, pedidos de extorsão entre 1,5 e 2,5 milhões de dólares), se virou contra a própria indústria de IA. Ele injetou instruções maliciosas no sandbox de avaliação automática de um fornecedor e fez o sandbox entregar chaves de produção de vários provedores.

Outro grupo, o GTG-50021, vendia acesso barato ao Claude. O acesso não era barato nem era o Claude: o tráfego ia em silêncio para outro modelo, enquanto as ferramentas do vendedor instalavam um coletor de credenciais e revendiam as contas das vítimas adiante.

A lição prática é simples. Chaves de IA e integrações de agentes precisam da mesma proteção que credenciais de produção, porque os atacantes já as tratam assim. Um desconto que exige passar seu tráfego por um intermediário desconhecido custa mais do que economiza.

Uma fábrica de notícias em 70 sites#

A seção de operações de influência reúne nove casos. O mais revelador não era conduzido por um governo, e sim por uma agência de publicidade francesa, a LKM Company. A rede parecia um conjunto de redações locais independentes: cerca de 70 sites de notícias, 70 contas correspondentes no X e mais de 250 contas para comentários. Publicou pelo menos 8.913 artigos em cerca de 20 idiomas. A posição política mudava conforme quem estava pagando na hora.

Ao lado dela aparece a BBS Bilisim Teknolojileri, empresa de Istambul que vendia uma plataforma de manipulação eleitoral voltada para a Malásia. Mil contas falsas, um veículo inventado chamado Malaysia Pulse e perfilamento de eleitores distrito por distrito, construído com dados de censo e eleitorais carregados no sistema. Na própria documentação os autores descreviam aquilo como um ecossistema de operações políticas em tempo real de nível militar.

Em Bangladesh a rede inteira era um homem do distrito de Gaibandha, girando 29 contas e rodando um script caseiro que gerava notícias falsas em bengali.

25 milhões de chips SIM em um só país#

A seção de vigilância é a mais difícil de ler. Um consultor em Bamako, trabalhando para o serviço de inteligência do Estado do Mali, usou o Claude como um departamento de engenharia inteiro e construiu uma plataforma chamada Lakana 360 que monitora cerca de 25 milhões de chips SIM nas três operadoras móveis do país. Ela foi desenhada de propósito para driblar a exigência da lei do Mali de ordem judicial: entregava um dossiê sobre qualquer número de telefone sem pedir aos agentes de inteligência nenhuma base legal.

E a lista continua. Uma organização iraniana afirmou ter perfilado 6.388 cidadãos em um ano e rodou análise sobre 155.216 tuítes. Órgãos chineses montaram dossiês sobre cardeais católicos graduados, a liderança da Igreja Presbiteriana de Taiwan, a sociedade civil budista tibetana e o Falun Gong. Uma unidade municipal de polícia cibernética mantinha um programa de monitoramento do clima social interno, e um aluno de academia de polícia apontou dez cidadãos comuns como alvos.

Um enxame de drones que não precisa de humano#

Seis casos de armas convencionais: três na China, dois na Rússia e um no Iêmen.

Os atores russos montavam um stack completo para um enxame de drones kamikaze: memória compartilhada do enxame, lógica de coordenação tolerante a falhas, um modelo pequeno embarcado para governar o comportamento, guiagem terminal por câmera e o comando de detonar. Uma das classes de alvo era uma pessoa, e a ordem de detonar podia sair sem nenhum humano no circuito. O projeto se chamava DronDoc, ou Serafim.

No norte do Iêmen uma célula rodava três programas ao mesmo tempo: um foguete guiado usando um processador de celular como computador de bordo, um míssil balístico com meta declarada de alcance acima de 2.000 km e o conjunto R2000, incluindo uma variante de planeio hipersônico. O Claude Code entrou no lugar dos engenheiros de software e escreveu o código de guiagem e navegação.

Os casos chineses são menos cinematográficos, mas não menos significativos: uma especificação de controle de tiro para um sistema antitorpedo mais uma proposta técnica que passa de 200 páginas, um pacote de 16 módulos de guerra eletrônica iterado até uma décima segunda versão e relatórios de inteligência sobre armas de energia dirigida para circulação interna restrita.

Biologia, onde ninguém conta a verdade toda#

Cinco casos, e a Anthropic omite de propósito as instituições, os países e os agentes específicos. A lógica: são cientistas em atividade, a empresa não afirma que quisessem causar dano e revelar os nomes poderia colocá-los em risco.

Mesmo assim, o que está lá dentro dá arrepio. Trabalho para tornar a chikungunya mais perigosa dentro de um financiamento estatal. Planejamento de experimentos para adaptar a gripe aviária a mamíferos. Um pedido de financiamento sobre evasão imune para um ortopoxvírus, redigido em cerca de uma hora. Um atlas de peptídeos de veneno com otimização generativa. E um redesenho computacional de toxinas para um programa nacional, em que o pesquisador pediu ao modelo para manter de propósito vaga a identidade dos agentes nos relatórios de andamento.

A própria Anthropic faz a comparação: o programa soviético Biopreparat, em que milhares de pesquisadores trabalhavam sem saber para que servia tudo aquilo no fim.

4.700 pessoas que não existem#

Há um único caso de fraude, e ele ensina muito. Um estúdio baseado na China montou mais de 20 aplicativos de namoro, encheu tudo de personagens de IA e anunciou o serviço como totalmente humano. Em duas semanas de abril de 2026, 4.700 personagens distintos conversaram com pelo menos 25.000 pessoas e enviaram cerca de 2,36 milhões de mensagens.

No feed de swipe, 75% dos perfis eram o modelo e 25% eram pessoas reais que o estúdio contratou como bico. Os humanos estavam ali para as provas que um modelo não passa: uma videochamada ao vivo, um follow numa rede social. Os aplicativos foram feitos para se esconder da revisão das lojas: a interface mudava só enquanto a revisão rodava, e os nomes das classes variavam de propósito em umas vinte versões, para as lojas não ligarem uma coisa à outra.

Um detalhe explica por que isso funcionou. Em algumas conversas o próprio raciocínio do modelo registrava que a pessoa estava mal, incluindo casos em que usuários contavam ter uma doença grave. Mesmo assim ele não saiu do personagem.

Sete laboratórios chineses que copiaram o Claude#

A última seção é a mais dura em fatos. Desde fevereiro, a Anthropic encontrou e interrompeu campanhas de destilação ilícita de sete laboratórios baseados na China. Destilação é um método legítimo de treino, em que as respostas de um modelo forte treinam um mais fraco. O que a torna ilícita é a escala industrial, o disfarce e a fraude com contas.

• A Alibaba rodou o maior ataque que a Anthropic já mediu: pico de quase 3 milhões de trocas por dia a partir de mais de 3.500 contas fraudulentas e mais de 151 milhões de trocas entre maio e julho. As cadeias de raciocínio colhidas foram para o treino do Qwen 3.5, 3.6 e 3.7. O Claude também ajudou ali a construir infraestrutura interna e ambientes de aprendizado por reforço.
• A Moonshot repassava em silêncio os pedidos dos próprios clientes ao Claude e mostrava as respostas do Claude como se fossem do Kimi. Quase 300.000 pedidos em dez dias, por uma rede de 5.380 contas fraudulentas.
• A DeepSeek fez a mesma coisa: mais de 12,1 milhões de trocas em 14 dias de julho.
• A Zhipu (conhecida fora da China como Z.ai) puxava cadeias de raciocínio para treinar seus modelos GLM. Um detalhe revelador: depois que as proteções do Fable quebraram o ataque, os funcionários passaram para o Opus 4.6 e para o modelo de ponta de outro laboratório americano, porque julgaram que as proteções lá eram mais fracas.
• A Xiaomi rodou de novo pelo Claude conversas e sessões de código dos próprios modelos MiMo, mais de 400.000 trocas em 20 dias.
• A SenseTime comprou de fornecedores externos de dados transcrições de conversas de terceiros com o Claude, e a MiniMax montou o próprio serviço de proxy por uma empresa de fachada que esconde a matriz e vende acesso só a modelos da Anthropic e da OpenAI.

E aqui vem a parte que toca em você pessoalmente. DeepSeek, Xiaomi e Moonshot jogaram no Claude as conversas dos próprios usuários. Essas conversas traziam nomes, endereços de e-mail, dados de empresa e credenciais de acesso vivas de centenas de usuários finais, em pelo menos uma dúzia de idiomas. Muitas chegaram por serviços externos de roteamento populares nos Estados Unidos e na Europa. Ou seja: a pessoa digitou em um serviço, os dados dela viajaram para outro país e para uma terceira empresa, e ela não tinha ideia.

O que fazer com isso#

É fácil ler o relatório como um thriller, mas ele tem uma camada prática. Foi isso que eu tirei dele.

Chaves de IA agora são credenciais de produção. Rotacione, reduza o escopo e monitore como você monitora o acesso ao banco de dados onde está o dinheiro.

Compre acesso direto. Qualquer intermediário com desconto suspeito está roubando contas ou vendendo suas conversas adiante.

A defesa por assinatura acabou. Se o atacante reconstrói a ferramenta mais rápido do que você publica uma regra, a defesa tem que rodar em cima de comportamento, não de impressões digitais.

Integrações de agentes são superfície de ataque. Sandboxes, proxies, wrappers e ferramentas internas com acesso aos seus sistemas quebram exatamente como quebram as aplicações web.

Os dados que você entrega ao modelo de outra pessoa ganham vida própria. Sobretudo se você chega nesse modelo por um router ou por um intermediário barato.

No fim das contas#

A Anthropic interrompeu todas as operações do relatório, baniu as contas e reforçou as defesas. Ótimo. Mas o documento se lê como um primeiro capítulo, não como um incidente encerrado.

Antes a sofisticação dizia quem estava atrás do ataque. Um Estado fazia um tipo de coisa, um operador solitário fazia outro. Essa regra morreu: um estudante, um ativista e um serviço de inteligência hoje usam a mesma estrutura e chegam a resultados comparáveis. Ou seja, você planeja a defesa não em torno de quem pode querer invadir, mas em torno do que qualquer pessoa motivada com uma assinatura e um notebook já consegue fazer.

Antes os defensores impunham custos aos atacantes. Agora os custos são impostos a nós, e não por uma pessoa, e sim por um agendador de tarefas.