Agentes de IA invadiram o governo de Taiwan em 4 dias

Entre 1º e 4 de julho de 2026, um conjunto de agentes de inteligência artificial invadiu redes do governo de Taiwan praticamente sozinho. Em quatro dias, comprometeu 85 contas de usuários, extraiu mais de 2.500 registros de pessoal e se expandiu para a agência de segurança nuclear do país e para pelo menos sete empresas de energia.

Quem descreveu o caso foi a empresa israelense de segurança Dream, em análise publicada em 11 de agosto. Pesquisadores chamam o episódio de primeiro ataque "quase autônomo" contra um alvo de governo — e vale segurar esse "quase", porque ele importa: houve direção humana, só que mínima.

O detalhe que deveria tirar o sono de quem cuida de sistemas não é o alvo. É a ferramenta.

O que os agentes fizeram sem supervisão

• Rodaram até oito agentes em paralelo, cada um com alvos e técnicas próprios.
• Executaram 12 ondas de ataque em quatro dias.
• Fizeram reconhecimento simultâneo em 21 sistemas do governo.
• Mapearam redes, sondaram fraquezas, quebraram credenciais e exfiltraram dados em sequência.
• Trocavam de tática sempre que eram bloqueados, sem esperar instrução.

A análise saiu de um material que o próprio grupo deixou exposto na internet: um arquivo de 160 MB com 1.395 registros de log. Dentro dele, os pesquisadores encontraram motores de decisão bayesianos, ciclos de aprendizado e rotinas de autocorreção. Não era um script rodando em loop — era um sistema que avaliava resultado e ajustava o próprio plano.

A parte incômoda: as ferramentas são públicas

O sistema não foi construído com tecnologia secreta de Estado. Foi montado sobre dois frameworks de agentes abertos:

• Hermes, framework de agentes lançado pela Nous Research em fevereiro de 2026.
• OpenClaw, assistente pessoal de IA lançado em novembro de 2025, que acumulou 340 mil estrelas no GitHub em menos de seis meses.

São projetos legítimos, feitos para automatizar trabalho — provavelmente parecidos com o que a sua equipe já usa ou vai usar. Não há nada de errado com eles. O que mudou é que a mesma peça que organiza tarefas de escritório organiza tarefas de invasão, e ninguém precisa reconstruir isso do zero.

Como os guardrails caíram

Esta é a linha que mais deveria circular entre gestores: as proteções do modelo foram contornadas apresentando a invasão como um teste de penetração autorizado.

Só isso. Sem exploit sofisticado contra o modelo, sem jailbreak elaborado. Bastou o enquadramento certo — uma frase de contexto — para que o sistema tratasse a operação como trabalho legítimo de segurança.

A lição prática vale para qualquer empresa que esteja colocando agentes para trabalhar: guardrail de modelo não é controle de acesso. Ele filtra intenção declarada, e intenção declarada é a coisa mais fácil do mundo de falsificar. Quem depende do "a IA não vai fazer isso" como camada de segurança está apoiado em papel.

Por que isso muda a conta da sua empresa

A reação natural é "isso é guerra cibernética entre países, não tem a ver comigo". Tem, e por um motivo econômico simples.

Ataque sofisticado sempre foi caro porque exigia gente: especialistas caros, em quantidade, por semanas. Esse custo funcionava como uma proteção implícita para empresas pequenas — ninguém ia gastar uma equipe inteira para invadir uma distribuidora de médio porte no interior.

O que essa operação demonstra é que o custo de rodar um time ofensivo despencou. Oito agentes em paralelo por quatro dias não é um time caro. E o alvo deixa de precisar ser importante para valer a pena — passa a bastar ser fácil.

É o mesmo movimento que descrevemos em outro texto sobre a IA achando falhas mais rápido do que as empresas conseguem corrigir, visto do outro lado do balcão: lá, a IA encontra o problema; aqui, ela executa o ataque inteiro.

O que dá para fazer, em ordem de retorno

1. Segundo fator em tudo que dá. O ataque quebrou credenciais e usou contas legítimas. Senha sozinha, por melhor que seja, não segura mais uma operação automatizada.
2. Apague contas que ninguém usa. Conta de ex-funcionário e de fornecedor antigo é a porta preferida — ninguém percebe atividade nela.
3. Vigie velocidade, não só volume. A assinatura desse tipo de ataque é o ritmo: reconhecimento em 21 sistemas ao mesmo tempo não é comportamento humano. Alerta por padrão anormal de velocidade pega o que alerta por quantidade deixa passar.
4. Tenha log e saiba lê-lo. A campanha inteira foi reconstruída a partir de registros. Sem log, você não sabe se foi atingido — e a maioria das empresas descobre invasão meses depois.
5. Trate o que está exposto na internet como prioridade. O que o mundo enxerga é o que os agentes varrem primeiro.

Nada disso é exótico nem caro. É higiene básica — só que agora com um adversário que não dorme e não cobra hora extra.

Dois meses depois: sites de mais de 100 empresas

Em 19 de outubro de 2026, a Reuters mostrou que o método saiu do alvo de governo e chegou às empresas. Segundo o pesquisador Snorre Fagerland, da empresa de segurança NorForge, um hacker que escreve em chinês usou agentes de IA para atacar mais de 1.200 sites e conseguiu entrar nos de mais de 100 empresas. Entre elas estão a Deere, dona da marca John Deere, a SharkNinja, de eletrodomésticos, e a Cummins, de motores. A campanha começou no fim de setembro.

Três detalhes interessam a qualquer negócio, de qualquer tamanho:

• A porta não foi o site principal. Na SharkNinja, foi um site separado de suporte a produtos. Na Cummins, o site de um fornecedor terceirizado. São páginas que existem, estão no ar e ninguém olha todo dia.
• O custo é baixo. O pesquisador estima algo perto de US$ 50 por invasão bem-sucedida, mas avisa que o número é incerto, porque não teve acesso aos dados de uso das ferramentas.
• A ferramenta, de novo, era pública. Os agentes eram coordenados por instalações expostas do Cairn, um projeto aberto de automação com IA. O criador disse que a plataforma “nunca foi uma ferramenta de hacking”.

As empresas dizem que contiveram o problema, e não se sabe quanto dado foi levado. O recado, porém, é o mesmo do caso de Taiwan, agora em escala comercial: o agente varre milhares de endereços e entra onde está mais fácil.

O site esquecido é a porta mais fácil

Quase todo negócio tem páginas que ninguém lembra que existem. Antes de pensar em ferramenta cara, faça este inventário:

1. Liste tudo o que tem o nome da empresa na internet: o site principal, o hotsite de uma promoção antiga, a loja que foi testada e abandonada, o blog em outro endereço, a página de inscrição de um evento passado.
2. Pergunte quem atualiza cada um. Se a resposta for “ninguém” ou “a agência de antes”, tire do ar ou entregue para alguém cuidar.
3. Olhe os subdomínios. Endereços como “promo.” ou “teste.” antes do nome do site costumam ficar para trás. Quem cuida do domínio consegue listar todos em minutos.
4. Inclua os fornecedores. Se um parceiro mantém um site ou formulário que recebe dados dos seus clientes, pergunte como ele atualiza e protege essa página. A Cummins foi atingida por aí.
5. Troque senhas e ative o segundo fator nos painéis de hospedagem, domínio e administração de cada site que ficar no ar.

Se você não sabe responder a essas perguntas sobre o seu próprio site, a nossa equipe de criação de sites faz esse levantamento e cuida das atualizações.

O resumo honesto

Duas ressalvas para não exagerar o caso. A primeira: os pesquisadores dizem "quase autônomo", não autônomo — havia humano no circuito, ainda que pouco. A segunda: a atribuição à China é provável, não provada. A Dream não nomeou grupo; apoiou-se no fato de os logs internos alternarem chinês simplificado nos relatórios de status e chinês tradicional na análise dos alvos.

E fica a ironia: toda essa análise só existe porque o grupo esqueceu 160 MB de logs abertos na internet. Quem ataca também erra o básico.

O que não é ressalva, e sim o fato central: a barreira de entrada para um ataque coordenado caiu, e caiu usando software que qualquer pessoa baixa hoje.

Fatos apurados a partir da análise técnica da Dream, publicada em 11 de agosto de 2026, e da cobertura de CNN, The Register e CyberScoop. Taiwan calcula ter detectado, em média, 2,6 milhões de tentativas diárias de ciberataque de origem chinesa em 2025.