460 alvos, três vítimas e nenhuma delas foi trabalho da IA

Vale começar pelo fim, porque é o número que costuma sumir das manchetes. Foram mais de 460 alvos atacados. Três comprometimentos confirmados. E os três vieram de exploração manual de uma falha do Citrix NetScaler, a CVE-2026-3055, com exfiltração de dados de memória em três organizações. Nenhuma vítima confirmada saiu do ciclo autônomo.

Isso não torna o caso menos importante. Torna ele mais interessante.

A sessão em que o agente decidiu sozinho

A instrução inicial mandou explorar instâncias do Langflow, ferramenta de orquestração de fluxos de IA, usando a CVE-2026-33017, de severidade 9.8. O agente consultou o buscador de ativos FOFA, encontrou 84 instâncias vivas, identificou uma rodando a versão vulnerável 1.3.4 e tentou explorar. Falhou, porque a falha exige que o alvo tenha login automático habilitado ou um identificador de fluxo público, e o alvo não tinha nenhum dos dois.

Até aqui, é automação comum. O que vem depois não é. O agente registrou a própria avaliação nos logs:

"Os três Langflow precisam de ID de fluxo público mas sem auto_login, travado. Implantações pequenas (84 vivos), exploráveis provavelmente 0. Procurar vulnerabilidades de escala maior."

E foi procurar. Levantou o número de instalações de dez famílias de produto no FOFA, vasculhou o GitHub atrás de repositórios de prova de conceito para CVEs de 2026 ordenados por estrelas, e escolheu o n8n com este raciocínio: "O n8n com 258 estrelas e CVSS 10.0 parece extremamente promissor. O n8n é uma ferramenta de automação de fluxo muito popular, similar ao Langflow, e tem muito mais estrelas no PoC, o que sugere que está sendo amplamente explorado."

O FOFA confirmou a intuição: 647.017 instâncias de n8n no mundo, 25.209 na China. O agente baixou a prova de conceito pública que encadeia a CVE-2026-21858 com a CVE-2025-68613, analisou as faixas de versão afetadas, encontrou três alvos rodando versões vulneráveis e tentou. Falhou de novo, porque os formulários expostos exigiam autenticação. Varreu mais de 50 alvos chineses. Nenhum tinha formulário público. A sessão termina aí.

O detalhe que os defensores deveriam anotar

Nas duas tentativas, o que impediu a exploração foi configuração do alvo, não defesa do alvo. Não houve WAF, não houve detecção, não houve resposta a incidente. Houve login automático desabilitado e formulário atrás de autenticação. A margem entre falha e sucesso foi a configuração padrão de quem instalou a ferramenta.

Há outro número que merece atenção. Dos 25.209 sistemas chineses com n8n exposto, o agente amostrou cerca de 100 endereços e sondou uns 40, verificando versão por curl. Ele mesmo limitou o escopo, provavelmente para economizar consumo de modelo. Um agente gerenciando o próprio orçamento computacional enquanto executa, em minutos, o trabalho de análise de alvos que ocuparia um humano por dias.

Como a operação inteira veio a público

O Hermes Agent, respondendo a um comando de Telegram, subiu um servidor HTTP simples com python3 -m http.server 8888 a partir do diretório pessoal do operador, e não de uma pasta isolada de trabalho. Isso deixou aberto na internet o ambiente completo: chaves de API, scripts de exploração, listas de alvos, histórico de shell e os registros das sessões autônomas de ataque.

Foi um erro de operador, e é bom que se diga: quem cometeu o erro não foi o operador humano, foi o agente ao qual ele delegou. Uma decisão de diretório tomada por um modelo de linguagem entregou a campanha inteira.

Um operador, quatro modelos, um proxy

Ferramenta	Papel na operação
Hermes Agent com DeepSeek	Motor ofensivo principal. Acesso a terminal, sistema de habilidades e comando por Telegram. Sem camada de segurança embutida, com habilidade personalizada de jailbreak.
Habilidade fofa-cyberspace-search	Tradutor de linguagem natural para consultas FOFA, integrado ao agente para enumeração de ativos expostos.
Ferramentas ocidentais de codificação	Roteadas por um serviço de proxy de terceiros para reduzir rastreabilidade, com permissão de execução no cliente removida.
Modelos chineses	Acessados diretamente pelos endpoints nativos de API, sem intermediação.

A separação é deliberada. O ator tratou as plataformas ocidentais como território hostil, que precisa de anonimização, e as chinesas como infraestrutura de casa. É telemetria de atribuição que vale mais do que qualquer indicador de comprometimento.

Leitura LATAMSEC

A conclusão fácil seria dizer que a IA ofensiva ainda não funciona. Não é isso que os dados mostram. O que eles mostram é que o ciclo autônomo de identificar, avaliar, adquirir exploit e tentar já roda de ponta a ponta, e que ele falhou por encontrar alvos configurados de forma minimamente sensata. Contra um parque com padrões frouxos, o resultado teria sido outro.

Para quem opera no Brasil, o recorte prático é de exposição, não de IA. Ferramentas de automação e orquestração de fluxos entraram nas empresas pela porta de times de dados e de produto, quase sempre fora do inventário de segurança. São exatamente as famílias que o agente escolheu, e ele escolheu por um critério que qualquer um pode reproduzir: número de instalações expostas cruzado com popularidade da prova de conceito no GitHub.

Isso dá uma lista de verificação bem curta e bem incômoda. Quantas instâncias de ferramenta de automação de fluxo a sua organização tem expostas à internet? Quem sabe a versão de cada uma? Alguma delas tem formulário ou endpoint acessível sem autenticação? Se a resposta a qualquer uma dessas perguntas for "preciso verificar", a janela de resposta já é menor do que o tempo de verificação.

A parte que ninguém deveria terceirizar para o otimismo: a velocidade de decisão do atacante deixou de ser limitada por atenção humana. A do defensor continua sendo.