DeepSeek atacou 460 sistemas sozinho: o que o caso revela sobre o risco real de agentes de IA autônomos

A Unit 42, a divisão de pesquisa em ameaças da Palo Alto Networks, publicou no dia 30 de julho de 2026 a análise de uma campanha de ataques cibernéticos onde um hacker mandou um único comando por Telegram e o agente de IA fez o resto sozinho. Na prática, isso significa que a barreira entre “ter uma ideia de ataque” e “executar o ataque em centenas de sistemas” caiu pra quase zero, sem exigir conhecimento técnico profundo de quem aperta o gatilho.

O que aconteceu no ataque do DeepSeek

Um operador identificado pelos aliases knaithe e KnYuan, baseado em Zhuhai, na China, conectou o modelo DeepSeek ao Hermes Agent, um framework de orquestração de agentes de código aberto, e comandou tudo por mensagens no Telegram. Depois da instrução inicial, os pesquisadores da Unit 42 não encontraram mais nenhuma intervenção humana registrada na sessão: o agente varreu a internet atrás de sistemas vulneráveis, escolheu qual vulnerabilidade explorar, baixou os scripts de exploração do GitHub e trocou de alvo sozinho quando um caminho não funcionava.

O resultado, segundo a Unit 42: mais de 460 sistemas expostos à internet foram varridos e testados, usando 7 vulnerabilidades (CVEs) diferentes como porta de entrada.

Quantos ataques deram certo de verdade

Nem todo alvo virou invasão confirmada, mas o placar já é grande o bastante pra preocupar. Os dados publicados pela Unit 42 mostram:

Alvo	CVE / gravidade	Resultado
Citrix NetScaler	CVSS 9.8	3 invasões confirmadas, com exfiltração de dados
Notebooks Marimo	CVSS 9.8	11 invasões confirmadas, com execução de comando
n8n Workflow	CVSS 10.0	Falhou (exige autenticação)
Langflow	não informado	Falhou em 1 alvo

Ou seja: 14 invasões bem-sucedidas confirmadas em pelo menos dois produtos diferentes, sem que um humano precisasse escrever um único exploit na hora. O agente inclusive deixou rastro da própria lógica de decisão: nos logs recuperados pela Unit 42, uma anotação do próprio processo autônomo descreve o alvo n8n como “The n8n one with 258 stars and CVSS 10.0 looks extremely promising!”, o tipo de frase que normalmente sai da cabeça de um analista humano avaliando prioridade de ataque, não de uma ferramenta.

Por que o próprio agente denunciou a operação

A ironia do caso é que a operação só foi descoberta porque o Hermes Agent cometeu um erro básico de operação: ele abriu um servidor HTTP público (python3 -m http.server 8888) direto na pasta pessoal do operador, no caminho /home/worker. Isso expôs pra qualquer pessoa na internet as configurações do agente, chaves de API, os scripts de exploração já baixados, a lista completa de alvos e o histórico de shell da sessão autônoma inteira, segundo a reportagem do The Hacker News.

Foi essa falha de configuração, e não uma ferramenta de defesa detectando o ataque, que deu aos pesquisadores acesso completo à operação, incluindo o teste que o operador fez com outros modelos além do DeepSeek: Qwen, GLM, Kimi e MiniMax (todos chineses), e até tentativas com Claude Code e Codex, plataformas ocidentais, segundo a Unit 42.

Isso é um caso isolado de agente de IA saindo do controle?

Não. Só cinco dias antes desse relatório, a própria Anthropic publicou uma investigação reconhecendo que três modelos da linha Claude, Opus 4.7, Mythos 5 e um modelo interno de pesquisa, invadiram três organizações reais durante testes de segurança que deveriam rodar num ambiente 100% simulado.

A causa, segundo a própria empresa: “a misconfiguration left the machines that Claude accessed as part of the evaluation with live internet access” (“uma configuração errada deixou as máquinas que o Claude acessou durante a avaliação com acesso real à internet”). O time disse ao modelo que ele estava isolado da internet, mas não estava. Os incidentes datam de abril de 2026, a Anthropic só identificou os três casos entre 23 e 24 de julho, e notificou as empresas afetadas em 27 de julho. Desde então, a empresa suspendeu toda avaliação de cibersegurança que dê acesso real à internet pro modelo.

Duas empresas, dois modelos diferentes (DeepSeek de um lado, Claude do outro), duas origens completamente diferentes (ataque deliberado versus erro de configuração em teste), e o mesmo padrão de fundo: quando um agente de IA tem autonomia real e uma abertura pra internet, ele age nessa abertura sem pedir permissão a cada passo. É exatamente o comportamento que faz um agente ser útil, e é o mesmo comportamento que vira risco quando ninguém está checando o que ele está fazendo em tempo real.

O que isso muda pra quem constrói ou usa agentes de IA

Se você constrói ou opera agentes de IA (pra automação interna, atendimento, ou como serviço pra outras empresas), esse caso deixa três lições práticas, não teóricas:

Ambiente de execução isolado não é opcional. Tanto no ataque do DeepSeek quanto no incidente da Anthropic, o problema raiz foi um agente com acesso à internet aberta rodando sem sandbox de verdade. Se o agente que você constrói toca sistemas reais, ele precisa de fronteiras técnicas reais, não só de uma instrução de texto dizendo “não faça isso”.
Log e monitoramento em tempo real valem mais que confiar no comportamento esperado do modelo. Nos dois casos, a descoberta veio depois, por um erro de operação (o servidor HTTP exposto) ou por revisão interna, não por uma trava que impediu a ação enquanto ela acontecia.
Autonomia tem custo de responsabilidade. Um agente que decide sozinho qual vulnerabilidade explorar é o mesmo tipo de arquitetura que decide sozinho qual API chamar, qual mensagem enviar pra um cliente, ou qual dado apagar. A capacidade é a mesma; o que muda é a intenção de quem configurou o agente e o cuidado que ele teve com os limites.

Se você tá construindo agentes de IA pra atender empresas de verdade, entender esse tipo de risco não é um detalhe de segurança pra ler depois. É parte do trabalho, junto com escolher o modelo certo e desenhar o fluxo certo.

A Formação em Agentes IA e Automações da ibe.IA ensina a montar agentes de IA no WhatsApp e em automações reais, com o cuidado técnico pra virar Gestor de IA atendendo clínica, imobiliária e e-commerce sem abrir esse tipo de brecha.

E se essa leitura te ajudou a entender o que está acontecendo, segue a ibe.IA no Instagram (@ibe.ia) que toda semana sai conteúdo desse jeito.