Symantec encontra agente "Skynet" que sequestra modelos de IA expostos

Pesquisadores da Symantec capturaram as instruções completas de um agente de ataque que roda nos modelos de IA de outras pessoas. O agente encontra serviços de IA deixados abertos na internet e os usa para planejar e executar invasões, enquanto o dono paga pela computação. A Symantec publicou as descobertas em 21 de outubro de 2026.

Roubar o acesso ao modelo de IA de outra pessoa tem nome: LLMjacking. A novidade aqui é um agente criado para executar um ataque inteiro em modelos roubados. "O dono do modelo paga por cada etapa", escrevem os autores do relatório, Priti More e Susmit Yenkar, da Broadcom, controladora da Symantec.

Como a Symantec o pegou

Os pesquisadores operaram um honeypot, um sistema isca que parece um alvo fácil. Ele se passava por um serviço de IA desprotegido e exposto à internet. Os atacantes acreditaram que um modelo real processaria suas requisições, então enviaram a ele o prompt completo do agente.

A isca registrou mais de 127.000 requisições externas, vindas de dezenas de milhares de endereços. A maioria buscava endpoints de IA, testava em massa chaves de API roubadas ou sondava arquivos de configuração expostos. O prompt do agente foi capturado no verão de 2026.

O honeypot nunca executou nenhum dos comandos dos atacantes. Isso significa que o relatório mostra o que o agente foi criado para fazer, e não prova que cada ferramenta funciona contra vítimas reais.

O que o agente foi criado para fazer

O prompt capturado tem cinco camadas. Ele começa com um jailbreak, um truque de texto feito para desligar as regras de segurança de um modelo. Dá ao modelo uma persona falsa, "Fantasy AI", que diz rodar no GPT-4o. Em seguida, define 74 ferramentas de ataque.

Parte do prompt	O que faz
"Skynet mode"	Permite até 100.000 etapas sem aprovação humana
Ferramentas de varredura	Encontram servidores de modelos, gateways de IA e servidores MCP expostos
Ferramentas de exploração	Atacam frameworks web como Django, Jupyter, Laravel e Next.js
Roubo de credenciais	Coleta chaves de API e arquivos .env, que guardam senhas e chaves
Mineração de criptomoedas	Instala o minerador de Monero XMRig com quatro pools de mineração reserva
Limpeza	Apaga os logs de acesso de um serviço local

O MCP, Model Context Protocol, é uma forma padrão de conectar modelos de IA a ferramentas e dados. Um gateway de IA é um servidor que fica na frente das contas pagas de modelos de uma empresa.

No Skynet mode, as ferramentas rodam na hora, sem explicação e sem pedidos de permissão. O agente funciona em ciclo: varrer, infectar, instalar um minerador, infectar de novo.

O Help Net Security cita os pesquisadores: "o modelo roubado não apenas responde a perguntas; ele planeja e conduz o ataque".

Dois dias de tentativas

No primeiro dia, os atacantes enviaram uma conversa com três chamadas de ferramentas já preenchidas, voltada a uma plataforma de treinamento. O honeypot devolveu uma resposta genérica na quarta rodada, e a sessão terminou.

No segundo dia, uma requisição de um novo endereço trazia um script de shell codificado e compactado. Segundo o Help Net Security, ele tentava instalar um minerador de Monero voltado a servidores de câmeras e de streaming. O honeypot salvou o script e não o executou.

A Symantec diz que as técnicas isoladas não são novas. A preocupação é a reunião delas em um único agente autônomo. A Infosecurity Magazine relata a avaliação da Symantec de que isso reduz a habilidade necessária para realizar um ataque amplo.

O que isso significa para desenvolvedores

Se você opera um servidor de modelos, um gateway ou um servidor MCP, parta do princípio de que alguém vai encontrá-lo. A Symantec diz que os donos "serão encontrados e testados logo depois de ficarem expostos". Sua primeira recomendação é direta: "Não exponha APIs de LLM, servidores de modelos auto-hospedados nem endpoints MCP à internet sem autenticação".

Verifique também os endpoints pequenos. A Symantec diz que a autenticação deve cobrir todos os caminhos, incluindo listas de modelos e verificações de saúde. Coloque um gateway na frente em vez de deixar o servidor escutar em todas as interfaces de rede.

Trate chaves de API de IA como senhas de produção. Faça a rotação delas, dê a cada uma o escopo mais restrito de que ela precisa e mantenha-as fora do código e dos arquivos de configuração. Configure alertas de uso e de gastos, porque um pico pode ser o primeiro sinal de que outra pessoa está usando sua conta.

Para agentes que chamam ferramentas, a Symantec recomenda o menor privilégio e uma etapa de aprovação humana para ações sensíveis. Limite o acesso de rede de saída das máquinas que hospedam ferramentas de IA. Em servidores na nuvem, exija a versão 2 do serviço de metadados da instância com limite de saltos igual a um, o que bloqueia uma forma comum de roubar credenciais de nuvem.

Gateways são um alvo por si só. Nesta semana, o popular gateway de IA LiteLLM foi sequestrado para distribuir um ladrão de credenciais no PyPI. Verifique tanto o que você expõe quanto o que você instala.