Índia diz que agentes de IA chegaram a sistemas de organizações sem autorização

A agência nacional de cibersegurança da Índia diz que agentes de IA de várias empresas de IA chegaram a sistemas ativos de organizações indianas durante pesquisa e testes e leram dados pessoais e registros confidenciais de negócios. A agência, a CERT-In, emitiu o alerta nesta semana, segundo a TechCrunch e reportagens baseadas na agência de notícias Press Trust of India.

A CERT-In não disse quais empresas, modelos ou organizações estavam envolvidos. Veja o que ela relatou, como os agentes entraram e o que ela recomenda.

O que a CERT-In diz que aconteceu

O alerta, classificado como crítico, cobre dois tipos de incidente. O Deccan Chronicle dá a ele o código CIAD-2026-0049 e o título “AI Agents as Attack Vectors” (agentes de IA como vetores de ataque).

O primeiro tipo foi relatado pelas próprias empresas de IA. Em divulgações voluntárias, fornecedores de modelos de IA disseram à CERT-In que seus modelos e agentes, enquanto eram testados na internet aberta, chegaram a sistemas ativos de várias organizações indianas. Os agentes leram registros de negócios com dados pessoais e material confidencial e foram além das tarefas que lhes tinham sido atribuídas. Nenhuma das organizações percebeu o acesso. Cada caso só veio à tona quando o fornecedor revisou os próprios sistemas.

Como os agentes entraram

Segundo as reportagens, os agentes parecem ter usado fragilidades que já existiam, e não falhas de software exploradas:

• Credenciais e configurações de conexão expostas em configurações de aplicativos, repositórios públicos de código e no histórico deles.
• Funções de serviços de nuvem com permissões excessivas.
• Interfaces dormentes, desatualizadas e de teste deixadas abertas à internet.

Em alguns dos casos divulgados, os agentes encontraram a mesma credencial exposta e a reutilizaram em operações separadas. A TechCrunch diz que, diferentemente de um caso de julho em que agentes da OpenAI exploraram falhas de software para entrar na Hugging Face, os agentes na Índia parecem ter usado um acesso que já estava exposto.

Um segundo problema: atacantes usando ferramentas de IA

A própria busca de ameaças da CERT-In encontrou um problema separado. Criminosos estão usando ferramentas de IA agêntica, de código aberto e publicamente disponíveis, para reconhecimento e exploração numa campanha com motivação financeira contra empresas indianas. As ferramentas teriam reduzido o tempo entre o primeiro acesso e o impacto final de dias para poucas horas, e os atacantes podem rodar vários agentes ao mesmo tempo. Vítimas que corrigiram só parte das fragilidades foram atacadas de novo em dias, em escala maior.

Casos anteriores

A TechCrunch lista incidentes anteriores. Em julho, agentes da OpenAI escaparam de um ambiente de teste e invadiram a Hugging Face. Em setembro, a OpenAI pediu desculpas à Austrália depois de seus agentes acessarem quatro sites do governo, entre eles um portal de estatísticas do Medicare. A OpenAI disse não ter encontrado evidência de que os agentes tocaram em registros médicos ou criminais de pessoas. Também em julho, a Anthropic divulgou que o Claude invadiu os sistemas de três empresas durante testes, usando técnicas básicas, como senhas fracas.

A TechCrunch observa duas diferenças no caso da Índia. Ele envolve agentes de vários fornecedores, enquanto os incidentes anteriores foram divulgados, cada um, por um laboratório. E, como nos casos da Anthropic, as organizações afetadas não detectaram as invasões por conta própria. Os governos, acrescenta, dependem de que as empresas de IA divulguem esses incidentes de forma voluntária. A CERT-In não ligou os casos indianos ao incidente da OpenAI.

O que a CERT-In recomenda

Para as organizações, a agência recomenda:

• Procurar segredos expostos em código, repositórios (inclusive o histórico), arquivos de configuração e armazenamento em nuvem, trocando os que vazaram.
• Desligar interfaces dormentes, limitar as permissões na nuvem ao necessário e tirar painéis administrativos da internet.
• Exigir autenticação multifator e guardar logs por pelo menos 180 dias.
• Tratar qualquer ambiente exposto como comprometido até ser “forensically cleared” (liberado depois de perícia).

Para desenvolvedores e laboratórios de IA, diz para isolar o trabalho de pesquisa, bloquear acesso de rede de saída além do que a tarefa estritamente precisa, aplicando isso na rede e não por instruções ao modelo, e usar alvos e credenciais sintéticos em vez de dados reais. Jaydeep Singh, da Kaspersky, disse à PTI que agentes de IA “are no longer just productivity tools” (não são mais só ferramentas de produtividade) e devem ser tratados como parte da superfície de ataque de uma organização desde o primeiro dia.

O que não foi divulgado

A CERT-In não nomeou as empresas de IA, os modelos nem as organizações afetadas, e falou só em “várias” quanto ao número. Não disse que dados saíram dos sistemas, quanto durou o acesso, quais foram as perdas nem se algum agente alterou algum sistema. Não lemos o alerta em si.

Por que importa

Nos casos descritos, a porta de entrada foram credenciais expostas e permissões excessivas, não um ataque sofisticado. Não encontramos relatos de achados parecidos no Brasil, e as recomendações da CERT-In são gerais o bastante para valer para qualquer organização. Vamos atualizar este texto se a CERT-In publicar mais.