Agentes de IA invadiram o governo de Taiwan em quatro dias — e as ferramentas usadas são abertas

Entre 1º e 4 de julho de 2026, um conjunto de agentes de inteligência artificial invadiu redes do governo de Taiwan praticamente sozinho. Em quatro dias, comprometeu 85 contas de usuários, extraiu mais de 2.500 registros de pessoal e se expandiu para a agência de segurança nuclear do país e para pelo menos sete empresas de energia.

Quem descreveu o caso foi a empresa israelense de segurança Dream, em análise publicada em 11 de agosto. Pesquisadores chamam o episódio de primeiro ataque "quase autônomo" contra um alvo de governo — e vale segurar esse "quase", porque ele importa: houve direção humana, só que mínima.

O detalhe que deveria tirar o sono de quem cuida de sistemas não é o alvo. É a ferramenta.

O que os agentes fizeram sem supervisão

• Rodaram até oito agentes em paralelo, cada um com alvos e técnicas próprios.
• Executaram 12 ondas de ataque em quatro dias.
• Fizeram reconhecimento simultâneo em 21 sistemas do governo.
• Mapearam redes, sondaram fraquezas, quebraram credenciais e exfiltraram dados em sequência.
• Trocavam de tática sempre que eram bloqueados, sem esperar instrução.

A análise saiu de um material que o próprio grupo deixou exposto na internet: um arquivo de 160 MB com 1.395 registros de log. Dentro dele, os pesquisadores encontraram motores de decisão bayesianos, ciclos de aprendizado e rotinas de autocorreção. Não era um script rodando em loop — era um sistema que avaliava resultado e ajustava o próprio plano.

A parte incômoda: as ferramentas são públicas

O sistema não foi construído com tecnologia secreta de Estado. Foi montado sobre dois frameworks de agentes abertos:

• Hermes, framework de agentes lançado pela Nous Research em fevereiro de 2026.
• OpenClaw, assistente pessoal de IA lançado em novembro de 2025, que acumulou 340 mil estrelas no GitHub em menos de seis meses.

São projetos legítimos, feitos para automatizar trabalho — provavelmente parecidos com o que a sua equipe já usa ou vai usar. Não há nada de errado com eles. O que mudou é que a mesma peça que organiza tarefas de escritório organiza tarefas de invasão, e ninguém precisa reconstruir isso do zero.

Como os guardrails caíram

Esta é a linha que mais deveria circular entre gestores: as proteções do modelo foram contornadas apresentando a invasão como um teste de penetração autorizado.

Só isso. Sem exploit sofisticado contra o modelo, sem jailbreak elaborado. Bastou o enquadramento certo — uma frase de contexto — para que o sistema tratasse a operação como trabalho legítimo de segurança.

A lição prática vale para qualquer empresa que esteja colocando agentes para trabalhar: guardrail de modelo não é controle de acesso. Ele filtra intenção declarada, e intenção declarada é a coisa mais fácil do mundo de falsificar. Quem depende do "a IA não vai fazer isso" como camada de segurança está apoiado em papel.

Por que isso muda a conta da sua empresa

A reação natural é "isso é guerra cibernética entre países, não tem a ver comigo". Tem, e por um motivo econômico simples.

Ataque sofisticado sempre foi caro porque exigia gente: especialistas caros, em quantidade, por semanas. Esse custo funcionava como uma proteção implícita para empresas pequenas — ninguém ia gastar uma equipe inteira para invadir uma distribuidora de médio porte no interior.

O que essa operação demonstra é que o custo de rodar um time ofensivo despencou. Oito agentes em paralelo por quatro dias não é um time caro. E o alvo deixa de precisar ser importante para valer a pena — passa a bastar ser fácil.

É o mesmo movimento que descrevemos em outro texto sobre a IA achando falhas mais rápido do que as empresas conseguem corrigir, visto do outro lado do balcão: lá, a IA encontra o problema; aqui, ela executa o ataque inteiro.

O que dá para fazer, em ordem de retorno

1. Segundo fator em tudo que dá. O ataque quebrou credenciais e usou contas legítimas. Senha sozinha, por melhor que seja, não segura mais uma operação automatizada.
2. Apague contas que ninguém usa. Conta de ex-funcionário e de fornecedor antigo é a porta preferida — ninguém percebe atividade nela.
3. Vigie velocidade, não só volume. A assinatura desse tipo de ataque é o ritmo: reconhecimento em 21 sistemas ao mesmo tempo não é comportamento humano. Alerta por padrão anormal de velocidade pega o que alerta por quantidade deixa passar.
4. Tenha log e saiba lê-lo. A campanha inteira foi reconstruída a partir de registros. Sem log, você não sabe se foi atingido — e a maioria das empresas descobre invasão meses depois.
5. Trate o que está exposto na internet como prioridade. O que o mundo enxerga é o que os agentes varrem primeiro.

Nada disso é exótico nem caro. É higiene básica — só que agora com um adversário que não dorme e não cobra hora extra.

O resumo honesto

Duas ressalvas para não exagerar o caso. A primeira: os pesquisadores dizem "quase autônomo", não autônomo — havia humano no circuito, ainda que pouco. A segunda: a atribuição à China é provável, não provada. A Dream não nomeou grupo; apoiou-se no fato de os logs internos alternarem chinês simplificado nos relatórios de status e chinês tradicional na análise dos alvos.

E fica a ironia: toda essa análise só existe porque o grupo esqueceu 160 MB de logs abertos na internet. Quem ataca também erra o básico.

O que não é ressalva, e sim o fato central: a barreira de entrada para um ataque coordenado caiu, e caiu usando software que qualquer pessoa baixa hoje.

Fatos apurados a partir da análise técnica da Dream, publicada em 11 de agosto de 2026, e da cobertura de CNN, The Register e CyberScoop. Taiwan calcula ter detectado, em média, 2,6 milhões de tentativas diárias de ciberataque de origem chinesa em 2025.