Casos registrados na Espanha e operações atribuídas a atores ligados à Rússia mostram que a inteligência artificial começa a executar partes da cadeia de ataque, enquanto governos e empresas ainda discutem como supervisionar sistemas capazes de operar em velocidade de máquina.
Por Ricardo Fan – DefesaNet
…
(RDN) A inteligência artificial deixou de ser empregada apenas como ferramenta de consulta, produção de códigos ou elaboração de mensagens fraudulentas. Relatórios recentes indicam que agentes baseados em grandes modelos de linguagem já são capazes de participar diretamente de operações cibernéticas, encadeando tarefas de reconhecimento, exploração de vulnerabilidades, persistência, evasão de sistemas defensivos e extração de dados.
O avanço não significa que sistemas de IA tenham adquirido consciência, vontade própria ou objetivos políticos independentes. Significa, porém, que modelos integrados a ferramentas externas, credenciais, conexões de rede e estruturas automatizadas passaram a executar sequências operacionais anteriormente dependentes de equipes humanas especializadas.
A diferença é estratégica. A IA não criou a espionagem, o phishing, o malware ou as operações de influência, mas está reduzindo custos, ampliando a escala das campanhas e comprimindo o tempo disponível para que organizações atacadas detectem e interrompam uma intrusão.
Casos divulgados pela Agência Espanhola de Proteção de Dados, operações investigadas pela Anthropic e um alerta conjunto sobre spyware iraniano revelam dois movimentos paralelos. De um lado, sistemas autônomos começam a assumir parcelas crescentes da cadeia de ataque. De outro, técnicas convencionais de engenharia social continuam produzindo resultados, demonstrando que a transformação tecnológica não elimina métodos anteriores: ela os incorpora, acelera e potencializa.
…
Da assistência à execução operacional
Durante a primeira etapa da disseminação da IA generativa, seu emprego por atores maliciosos concentrava-se em funções auxiliares. Modelos de linguagem eram utilizados para revisar códigos, traduzir comunicações, criar mensagens de phishing, explicar vulnerabilidades ou produzir versões básicas de programas maliciosos.
A introdução dos agentes modificou esse quadro. Diferentemente de um chatbot convencional, um agente pode receber um objetivo, dividir a tarefa em etapas, utilizar ferramentas externas, executar comandos, avaliar resultados e adaptar suas próximas ações. O modelo de linguagem fornece a capacidade de interpretação e decisão, enquanto a estrutura que o envolve — composta por software, APIs, servidores, credenciais e acessos — permite que decisões sejam convertidas em ações.
Essa arquitetura, frequentemente chamada de scaffolding, é tão importante quanto o próprio modelo. Isoladamente, a IA produz respostas. Conectada a ferramentas e autorizada a operar sobre sistemas reais, pode pesquisar alvos, testar vulnerabilidades, desenvolver códigos, configurar infraestrutura, enviar mensagens e analisar os dados obtidos.
O relatório de ameaças publicado pela Anthropic em setembro de 2026 sustenta que, em diferentes operações investigadas entre dezembro de 2025 e agosto de 2026, o Claude foi empregado não apenas como assistente, mas como executor ou orquestrador de atividades. Segundo a empresa, estruturas multiagentes foram usadas em tarefas de reconhecimento, exploração e exfiltração, enquanto operadores humanos permaneceram responsáveis principalmente pela seleção dos alvos e pela avaliação dos resultados.
A alteração mais importante não está necessariamente na descoberta de técnicas inéditas, mas na capacidade de encadear procedimentos conhecidos em velocidade, escala e continuidade superiores às alcançadas por operadores humanos.
…
O caso espanhol e os limites da expressão “ataque autônomo”
A Agência Espanhola de Proteção de Dados — AEPD — informou ter recebido a primeira notificação, em sua esfera de atuação, de uma violação de dados pessoais executada por meio de um agente de inteligência artificial.
De acordo com a comunicação oficial da AEPD, o agente iniciou uma busca por vulnerabilidades, realizou um acesso válido ao sistema e, depois de ingressar no ambiente, continuou procurando falhas de maneira autônoma. A operação resultou na alteração de dados pessoais e no acesso a informações de faturamento.
A relevância do episódio está menos em sua dimensão material, ainda sob análise, e mais na demonstração de que agentes de IA podem transformar uma intenção humana inicial em uma sequência operacional relativamente independente. O responsável não precisaria acompanhar manualmente cada comando, tentativa de acesso ou mudança de direção durante o ataque.
Entretanto, a expressão “primeiro ciberataque autônomo na Espanha” exige cautela. O que existe é a primeira notificação dessa natureza recebida pela AEPD, não a confirmação de que nenhum ataque semelhante tenha ocorrido anteriormente no país. A própria agência ressaltou que um único incidente não permite estabelecer uma tendência estatística.
Também não há evidência de que o modelo empregado ou a infraestrutura de seu desenvolvedor tenham sido comprometidos. Um terceiro teria utilizado um agente baseado em um modelo conhecido como instrumento de ataque. A distinção é essencial: o modelo não escolheu espontaneamente o alvo, não formulou uma motivação própria e não iniciou a operação sem uma configuração humana anterior.
Mesmo com essas limitações, o caso espanhol registra uma mudança operacional. Os riscos associados à IA agente deixaram de estar restritos a avaliações de laboratório e passaram a aparecer em incidentes envolvendo sistemas e dados reais.
…
Atores ligados à Rússia e a automação da espionagem
O exemplo mais complexo apresentado pela Anthropic envolve o ator classificado como GTG-20006. A empresa afirma que sua avaliação é consistente com informações públicas que relacionam a atividade ao Midnight Blizzard, denominação utilizada para um grupo associado à inteligência russa. Um dos operadores identificados seria falante de russo e apresentaria métodos e seleção de alvos compatíveis com operações de espionagem vinculadas ao Estado.
Essa formulação precisa ser preservada. O relatório oferece elementos de atribuição, mas não equivale a uma confirmação judicial ou a uma declaração conjunta de governos. A origem da informação é a própria empresa cuja plataforma foi explorada, com base em telemetria interna e análise de contas. Trata-se de uma fonte tecnicamente privilegiada, mas também limitada ao que ocorre dentro de seus sistemas.
Segundo a Anthropic, o ator atacou alvos relacionados a governos, inteligência militar, diplomacia e indústria de defesa na Ucrânia e em países europeus, além de pessoas e instituições ligadas à política externa dos Estados Unidos. Mais de 20 organizações teriam aparecido no planejamento, reconhecimento ou execução das operações.
O grupo teria desenvolvido fluxos baseados em IA para automatizar a aquisição de infraestrutura, a preparação de campanhas de phishing, a persistência nos sistemas comprometidos, o comando e controle e a exfiltração de dados. Um dos recursos mais relevantes consistia em monitorar se as ferramentas maliciosas haviam sido detectadas por produtos de segurança. Quando uma detecção era identificada, agentes modificavam e recompilavam o malware para tentar recuperar sua capacidade de evasão.
Essa funcionalidade afeta uma das bases tradicionais da defesa cibernética. Durante anos, a identificação de uma assinatura, padrão de comportamento ou componente de malware aumentava os custos do atacante. Era necessário mobilizar desenvolvedores, alterar códigos, testar novas versões e redistribuir a ferramenta. Com a automação, parte desse ciclo pode ser executada continuamente.
A mesma operação teria demonstrado interesse especial por empresas ligadas a drones militares e suas cadeias de suprimentos. O relatório menciona a extração de caixas de correio de fabricantes de componentes e o roubo de um kit proprietário de desenvolvimento de software relacionado a um sistema de visão para drones. O material teria sido posteriormente analisado para reconstruir arquitetura, componentes, fornecedores e características de produtos ainda não anunciados.
O dado evidencia a aproximação entre ciberespionagem, inteligência industrial e desenvolvimento militar. Em vez de atacar apenas redes governamentais, atores estatais ou paraestatais podem buscar diretamente os ecossistemas tecnológicos que sustentam capacidades militares emergentes.
…
Influência informacional e desenvolvimento de sistemas militares
A utilização de IA por atores alinhados à Rússia não se restringiu à intrusão em redes. A Anthropic também descreveu operações nas quais o Claude foi empregado para transformar conteúdos, documentos e orientações políticas em artigos, roteiros, postagens e materiais destinados a meios alinhados ao Kremlin.
Em uma operação voltada à República Centro-Africana, um ator de língua russa teria utilizado o modelo para produzir conteúdos favoráveis à presença russa, ao governo local e ao antigo Grupo Wagner, ao mesmo tempo em que promovia narrativas contrárias à França e à oposição centro-africana.
Outros casos envolveram a adaptação de materiais para diferentes idiomas e audiências, incluindo públicos na América Latina, África e Europa Oriental. O objetivo não era apenas gerar textos, mas fazer com que conteúdos de origem russa parecessem informações produzidas localmente ou confirmadas por diferentes fontes.
Essa aplicação representa uma evolução das operações de influência. A IA permite multiplicar versões, adaptar vocabulário, imitar estilos editoriais e produzir conteúdo em volume anteriormente dependente de equipes numerosas. Contudo, permanece necessária uma infraestrutura humana de distribuição, seleção de temas, aprovação política e amplificação.
O relatório também documenta tentativas de utilizar modelos no desenvolvimento de sistemas militares convencionais. Em um dos casos, atores russos teriam empregado o Claude Code para trabalhar em software relacionado a um enxame de drones FPV de ataque, incluindo memória compartilhada, coordenação tolerante a falhas, navegação terminal e comportamentos de ataque e retorno.
Essas atividades não devem ser confundidas com a afirmação de que uma IA projetou autonomamente um sistema de armas completo. Modelos podem acelerar programação, simulações, comparação de soluções e documentação técnica, mas o desenvolvimento de uma capacidade militar operacional continua dependendo de engenharia, componentes, testes, integração, produção e validação em campo.
A capacidade anunciada é, portanto, distinta da capacidade real. A produção de código ou de uma especificação técnica não comprova que um sistema tenha atingido maturidade operacional, precisão, resistência à guerra eletrônica ou capacidade de produção em escala.
…
O spyware iraniano como contraponto operacional
Enquanto operações atribuídas a atores ligados à Rússia apontam para uma crescente automação, o spyware iraniano CHOSEN BRICK demonstra que técnicas convencionais continuam relevantes.
Reino Unido, Estados Unidos e Holanda divulgaram um alerta conjunto sobre o emprego do malware contra dissidentes, ativistas e jornalistas. Segundo o National Cyber Security Centre britânico, atores vinculados ao Estado iraniano utilizaram abordagens direcionadas por WhatsApp e Telegram, apresentando-se como contatos confiáveis e enviando arquivos preparados para induzir as vítimas a instalar o programa.
Em alguns casos, os atacantes teriam utilizado documentos falsos apresentados como resultados de exames de ressonância magnética. Uma vez instalado, o spyware poderia coletar contatos, mensagens, e-mails e informações de redes sociais, além de capturar o conteúdo da tela e acessar o microfone do dispositivo.
As autoridades atribuíram a operação ao Ministério da Inteligência e Segurança do Irã, que utilizaria os dados para coleta de inteligência, exposição pública de informações e danos à reputação de adversários. O Irã não apresentou resposta imediata às acusações, e os órgãos responsáveis pelo alerta não divulgaram o número ou a distribuição geográfica completa das vítimas.
O caso oferece um contraponto importante. O sucesso de uma operação cibernética não depende exclusivamente de ferramentas tecnicamente avançadas. Muitas intrusões continuam começando com manipulação psicológica, exploração da confiança e conhecimento prévio da vítima.
A IA amplia essas possibilidades ao permitir que campanhas de engenharia social sejam personalizadas em escala, com linguagem compatível com o perfil do alvo, documentos convincentes e respostas adaptadas em tempo real. No entanto, a vulnerabilidade central permanece humana. O agente automatizado não substitui o phishing: ele pode torná-lo mais persistente, seletivo e difícil de reconhecer.
…
Autonomia real ou narrativa tecnológica?
A expansão dos agentes de IA alimenta duas interpretações concorrentes. A primeira sustenta que a guerra cibernética já ingressou em uma etapa de autonomia operacional, na qual sistemas podem executar grande parte da cadeia de ataque com intervenção humana limitada. Os casos divulgados pela AEPD e pela Anthropic oferecem elementos concretos em favor dessa leitura.
A segunda interpretação alerta para o risco de exagero. Empresas de IA possuem interesse em demonstrar simultaneamente a capacidade de seus modelos e a eficiência de seus mecanismos de segurança. Relatórios corporativos podem apresentar dados relevantes, mas refletem apenas a parcela das operações detectada dentro das plataformas analisadas. Também não permitem verificar integralmente a identidade, a estrutura de comando ou os resultados operacionais dos atores envolvidos.
Além disso, autonomia não é um conceito binário. Um sistema pode executar tarefas por horas sem supervisão direta e, ainda assim, depender de humanos para estabelecer objetivos, escolher alvos, fornecer acessos, definir limites e utilizar os dados obtidos.
Há uma diferença entre autonomia tática e autonomia estratégica. A primeira permite ao sistema decidir como executar uma tarefa delimitada. A segunda envolveria a capacidade de determinar por que atacar, contra quem e com qual objetivo político ou militar. Os casos conhecidos permanecem predominantemente no primeiro campo.
O risco imediato, portanto, não é o surgimento de uma inteligência artificial consciente que declare uma guerra cibernética. É a utilização de agentes parcialmente autônomos por governos, organizações criminosas, empresas de spyware, grupos ideológicos e indivíduos com recursos limitados.
A ameaça decorre da combinação entre intenção humana e execução automatizada.
…
A disputa pela supervisão da IA
A escalada dos riscos levou OpenAI, Anthropic e Google DeepMind a discutir mecanismos comuns de segurança e a possível formação de uma entidade responsável por padrões de avaliação de modelos avançados.
Segundo informações divulgadas pela Reuters, as empresas estariam conversando sobre cooperação em segurança, testes e mitigação de riscos. Entretanto, não existe ainda um órgão formalmente constituído, com estrutura, competências e regras públicas. A própria Reuters informou não ter confirmado independentemente todos os detalhes das negociações.
Uma organização desse tipo poderia estabelecer critérios mínimos para testes de cibersegurança, compartilhamento de indicadores, comunicação de incidentes e avaliação de modelos antes de sua disponibilização. Também poderia facilitar a interrupção coordenada de contas, infraestrutura e métodos utilizados por atores maliciosos.
O contraponto está no risco de captura regulatória. Empresas com maior capacidade financeira e tecnológica poderiam definir padrões que consolidassem sua própria posição, elevando os custos de conformidade para concorrentes menores. Uma entidade financiada e controlada pelo próprio setor enfrentaria questionamentos sobre independência, transparência e responsabilização.
A supervisão eficaz precisará equilibrar acesso a informações técnicas sensíveis com fiscalização externa. Uma estrutura exclusivamente governamental pode não acompanhar a velocidade da tecnologia. Um sistema exclusivamente empresarial, por sua vez, corre o risco de converter autorregulação em proteção de mercado.
…
A compressão do tempo da defesa
O principal efeito operacional dos agentes de IA é a redução do tempo entre identificação, exploração e adaptação. Sistemas de defesa organizados em ciclos humanos de análise podem encontrar dificuldades diante de atacantes capazes de testar milhares de possibilidades, modificar códigos e retomar operações em intervalos muito curtos.
Isso afeta centros de operações de segurança, agências de inteligência, Forças Armadas, empresas de infraestrutura crítica e indústrias de defesa. Detecções baseadas apenas em assinaturas estáticas tendem a perder eficiência diante de malware que pode ser continuamente recompilado ou modificado.
A resposta não poderá depender exclusivamente do aumento das equipes humanas. A defesa também precisará empregar automação e IA para correlacionar eventos, identificar comportamentos anômalos, interromper movimentações laterais e revogar acessos comprometidos.
A disputa passa a ocorrer entre ciclos automatizados de ataque e defesa. O fator decisivo será a capacidade de manter supervisão humana sobre decisões críticas sem transformar a resposta em um processo lento demais para acompanhar o adversário.
Essa realidade também amplia a importância de medidas básicas. Segmentação de redes, autenticação multifator resistente a phishing, gestão de privilégios, atualização de sistemas, controle de ferramentas automatizadas e monitoramento de credenciais continuam sendo fundamentais. A presença de IA não torna obsoletos os fundamentos da segurança; aumenta o custo de negligenciá-los.
…
Implicações para defesa, indústria e soberania tecnológica
Para governos e Forças Armadas, o emprego de agentes autônomos modifica a relação entre capacidade e quantidade de pessoal. Atores com equipes reduzidas podem sustentar campanhas contra múltiplos alvos, enquanto serviços de inteligência podem automatizar etapas que antes exigiam especialistas em idiomas, programação, infraestrutura e análise de dados.
Na indústria de defesa, cadeias de fornecedores, empresas de componentes, laboratórios, centros de pesquisa e prestadores de serviços tornam-se alvos tão relevantes quanto as grandes contratadas. A espionagem sobre drones demonstra que o adversário pode buscar propriedade intelectual, fornecedores e tecnologias intermediárias, evitando confrontar diretamente as redes mais protegidas.
Para países como o Brasil, a questão envolve soberania digital. A dependência de modelos, plataformas de nuvem, soluções de detecção e infraestrutura estrangeira limita a capacidade de compreender como incidentes são identificados, classificados e atribuídos. Não se trata necessariamente de desenvolver todos os componentes de forma isolada, mas de assegurar capacidade institucional para auditar, integrar, operar e proteger sistemas críticos.
Também será necessário atualizar doutrinas de ciberdefesa. A distinção entre crime, espionagem, influência política, sabotagem e preparação do campo de batalha tende a tornar-se menos nítida quando a mesma infraestrutura pode servir a diferentes objetivos.
Atribuir uma operação continuará sendo um processo político e técnico complexo. A IA pode alterar códigos, idiomas, horários e padrões de comunicação, reduzindo a utilidade de sinais tradicionalmente empregados para identificar autores. Quanto maior a automação, maior será o risco de atribuições apressadas ou deliberadamente manipuladas.
…
Uma autonomia limitada, mas estrategicamente relevante
A guerra cibernética não ingressou em uma era de máquinas conscientes decidindo iniciar conflitos. Entrou, porém, em um período no qual agentes configurados por humanos conseguem executar partes crescentes das operações com velocidade, persistência e capacidade de adaptação superiores às de uma equipe convencional.
O episódio comunicado pela AEPD mostra que a autonomia operacional já alcançou sistemas reais. As investigações da Anthropic indicam que atores ligados a Estados, grupos criminosos e operadores individuais estão experimentando estruturas capazes de automatizar parcelas significativas da cadeia de ataque. O spyware iraniano demonstra, ao mesmo tempo, que a engenharia social e a exploração da confiança permanecem decisivas.
A mudança central não está no desaparecimento do operador humano, mas em sua nova posição. Em vez de executar cada etapa, ele define objetivos, fornece recursos, supervisiona resultados e deixa que sistemas automatizados determinem parte do caminho.
O desafio estratégico será impedir que a velocidade da máquina elimine o tempo necessário à defesa, à atribuição responsável e à decisão política. A guerra cibernética pode ainda não ser conduzida autonomamente, mas já começa a ser travada por sistemas que operam rápido demais para instituições organizadas exclusivamente em torno do ritmo humano.
…
