Uma só ordem no Telegram e a IA atacou sozinha 460 servidores

Investigadores da Unit 42, a equipa de threat intelligence da Palo Alto Networks, documentaram uma campanha em que um atacante deu uma única instrução inicial e deixou um modelo de inteligência artificial conduzir sozinho o resto do ataque a servidores expostos na Internet. O caso é raro porque a operação ficou visível por acidente: o próprio agente de IA expôs o ambiente do atacante — chaves de API, scripts de exploração, listas de alvos e registos das sessões automatizadas —, dando aos defensores uma janela invulgar sobre uma operação ofensiva assistida por IA em funcionamento.

O que a Unit 42 encontrou

Um agente de ameaça de língua chinesa está a usar o modelo de IA DeepSeek e o Hermes Agent, de código aberto, para conduzir ciberataques autónomos a servidores expostos, com envolvimento humano limitado. A atividade foi descoberta por investigadores da Unit 42 da Palo Alto Networks depois de o Hermes ter criado acidentalmente um servidor web a partir do seu diretório pessoal, expondo o ambiente do atacante, incluindo chaves de API, scripts de exploração, listas de alvos, histórico da shell e registos dos ataques por IA.

A Unit 42 atribuiu a atividade a um agente sediado na China que opera sob os nomes “knaithe” e “KnYuan”, e que se descreve como “investigador de segurança binária”. A empresa situa o operador em Zhuhai, na China, embora ressalve que o material público é consistente com essa avaliação sem a verificar de forma independente. Não há confirmação de ligações a entidades governamentais.

É importante enquadrar o alcance real: os ataques autónomos observados pela Unit 42 não comprometeram com sucesso os servidores visados, mas os investigadores dizem que a campanha ilustra um fluxo de trabalho ofensivo de IA capaz de descobrir, avaliar e atacar sistemas vulneráveis. “Embora a campanha observada tenha tido impactos limitados, o fluxo de trabalho confirma uma capacidade ofensiva autónoma funcional, de ponta a ponta”, afirmou a Unit 42.

Como funcionava a cadeia de ataque

A arquitetura combinava dois componentes. O agente de ameaça usou o DeepSeek como motor de raciocínio por detrás do Hermes Agent, uma estrutura de IA de código aberto capaz de interagir com terminais do sistema operativo, executar comandos e ligar-se à Internet. Um pormenor operacional é revelador: o agente suporta um modo “Yolo” que lhe permite operar e executar comandos, mesmo arriscados, sem primeiro pedir autorização ao operador.

O Hermes estava configurado para aceitar instruções a partir de um canal do Telegram, usar competências personalizadas de segurança ofensiva e integrar com o motor de pesquisa de ativos na Internet FOFA. A Unit 42 recuperou uma sessão de maio de 2026 em que o operador terá fornecido apenas uma tarefa inicial, após a qual o agente conduziu o resto da atividade de forma autónoma, sem feedback humano.

Nessa sessão, o comportamento adaptativo do sistema é o que mais se destaca. O DeepSeek começou por visar o Langflow via CVE-2026-33017 (CVSS 9.8), obtendo autonomamente o código de prova de conceito no GitHub, enumerando 84 instâncias Langflow através do FOFA e analisando-as, mas falhando devido à ausência de auto_login e de IDs de fluxo públicos. Perante o insucesso, mudou de alvo: avaliou a quantidade de implementações em 10 famílias de produtos via FOFA e depois procurou no GitHub repositórios de PoC de CVE de 2026 ordenados por estrelas. O DeepSeek avaliou cada candidato por severidade, dimensão de implementação e explorabilidade antes de selecionar o n8n, confirmado pelo FOFA como alvo de alto valor: 647 017 instâncias a nível global e 25 209 na China.

Mesmo assim, a barreira de configuração travou o ataque. Três instâncias foram confirmadas a correr versões vulneráveis (v1.18.0, v1.117.3 e v1.108.2), e um alvo expunha três endpoints de formulário, mas todos exigiam autenticação; o DeepSeek lançou então uma análise em paralelo a mais de 50 alvos chineses restantes. Ou seja, a cadeia autónoma era tecnicamente viável, mas foi bloqueada pela configuração defensiva dos sistemas.

Vulnerabilidades envolvidas

A campanha combinou exploração autónoma e manual. O ator visou infraestruturas usando vulnerabilidades em Langflow (CVE-2026-33017), n8n (CVE-2026-21858, CVE-2025-68613), Citrix NetScaler (CVE-2026-3055), Apache Tomcat (CVE-2026-34486), Marimo Notebook (CVE-2026-39987), PAN-OS da Palo Alto Networks (CVE-2026-0300) e Microsoft Windows IKE Extensions (CVE-2026-33824).

Sobre os produtos afetados, os fornecedores já emitiram correções. O Langflow corrigiu a CVE-2026-33017 na versão 1.9.0; o n8n corrigiu a CVE-2026-21858 na versão 1.121.0 e a CVE-2025-68613 nas versões 1.120.4, 1.121.1 e 1.122.0 — sendo a 1.121.1 a versão mais antiga que resolve ambas as falhas da cadeia; o Marimo corrigiu a CVE-2026-39987 na versão 0.23.0. A Citrix indica que a CVE-2026-3055 afeta appliances NetScaler ADC e Gateway geridos pelo cliente e configurados como fornecedores de identidade SAML; os administradores podem verificar a configuração do appliance por add authentication samlIdPProfile e instalar as compilações corrigidas listadas no boletim de segurança da empresa.

Que dano real houve

O impacto confirmado foi limitado, mas relevante. Em todas as tentativas de exploração, autónomas e manuais, a Unit 42 só conseguiu confirmar três alvos comprometidos com sucesso; existe ainda evidência de exploração em lote contra um número desconhecido de sistemas listados num ficheiro apagado pelo ator antes da análise. As três explorações bem-sucedidas exfiltraram dados de memória através da vulnerabilidade de leitura fora dos limites do Citrix NetScaler (CVE-2026-3055), e o ator procurou nos dados exfiltrados cookies de autenticação NetScaler (NSC_AAAC=), indicando intenção de sequestro de sessão.

O valor do caso não está na dimensão do estrago, mas na demonstração da capacidade. Este processo autónomo de identificação, amostragem e restrição de alvos é notável porque o sistema executou centenas de horas de análise manual de alvos em meros minutos, gerindo ainda os seus próprios recursos de computação. O atacante configurou também outros modelos — Qwen, GLM, Kimi, MiniMax, Claude Code e o Codex da OpenAI —, mas a Unit 42 concluiu que não foram usados com frequência.

Por que é que isto importa para Portugal

Muitos dos produtos visados — Langflow, n8n, Marimo, appliances Citrix NetScaler — estão presentes em ambientes de PME portuguesas e em equipas técnicas que expõem painéis de automação e de notebooks diretamente à Internet, muitas vezes sem autenticação robusta. A lição operacional deste caso é direta: foi precisamente a configuração defensiva (autenticação exigida, ausência de auto_login) que impediu a maioria dos ataques autónomos de ter sucesso. A superfície de ataque exposta continua a ser o fator decisivo.

Para as organizações abrangidas em Portugal, o episódio liga-se ao Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que reforça deveres de gestão de vulnerabilidades, correção atempada e comunicação de incidentes ao CNCS/CERT.PT. Quando um compromisso envolve exfiltração de dados que permitam o sequestro de sessões, pode também ativar obrigações de notificação ao abrigo do RGPD, caso estejam em causa dados pessoais. A recomendação prática dos especialistas é urgente e clara: atualizar Langflow, n8n, Marimo e Citrix NetScaler para as versões mais recentes e fechar o acesso público a painéis internos.

Este caso não é isolado. No mesmo mês, a Sysdig documentou o que descreve como o primeiro ransomware “agêntico” conhecido, também iniciado por uma falha no Langflow, sinalizando uma tendência mais ampla de automação ofensiva conduzida por LLMs. A vantagem para os defensores mantém-se do lado da higiene básica: reduzir exposição, aplicar autenticação forte e corrigir depressa.

Perguntas frequentes

A IA conseguiu invadir sistemas totalmente sozinha?

Não com sucesso nos ataques autónomos observados. Segundo a Unit 42, os ataques conduzidos pelo DeepSeek falharam por os sistemas exigirem autenticação ou não terem opções vulneráveis ativadas. Os três compromissos confirmados na campanha foram obtidos por exploração manual da falha do Citrix NetScaler.

Quais os produtos que devo atualizar com prioridade?

Langflow (versão 1.9.0), n8n (1.121.1 ou superior, que cobre as duas falhas da cadeia), Marimo (0.23.0) e os appliances Citrix NetScaler ADC e Gateway conforme o boletim da Citrix. Verifique também correções para Apache Tomcat, PAN-OS e Windows IKE Extensions.

O que é o Hermes Agent e o modo “Yolo”?

O Hermes Agent é uma estrutura de IA de código aberto que dá acesso a terminal, execução de comandos e ligação à Internet, controlável por Telegram. O modo “Yolo” permite ao agente executar comandos — incluindo arriscados — sem pedir autorização prévia ao operador.

A minha PME está em risco se usar estas ferramentas?

O maior risco é expor estes painéis à Internet sem autenticação. Aplique correções, imponha autenticação forte, restrinja o acesso à rede interna e evite deixar interfaces de automação ou notebooks acessíveis publicamente. Em caso de incidente com dados pessoais, avalie deveres de notificação ao CNCS/CERT.PT e ao abrigo do RGPD.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Unit 42 (Palo Alto Networks) e por boletins de segurança dos fabricantes afetados.