Cem agentes de IA invadem cinco contas em cinco horas
Um experimento usou cerca de 100 agentes de IA auto-hospedados para invadir contas online do próprio responsável pelo teste. Em cinco horas, eles comprometeram cinco contas: três por vulnerabilidades de software e duas por força bruta de senhas. Também fizeram 16 tentativas de engenharia social e localizaram e cruzaram informações pessoais sensíveis. Não encontraram zero-days de terceiros nem comprometeram uma conta de camada 0, como e-mail principal, gerenciador de senhas ou dados bancários. O objetivo era avaliar o alcance de modelos abertos "abliterados" antes que esses ataques se tornem comuns.
Abliteração e montagem
Pedir ao ChatGPT que invada uma conta não funciona, e jailbreaks por prompt não sustentam investigação autônoma longa. O autor usou abliteração: remove-se dos pesos um vetor que representa a recusa, obtendo um modelo auto-hospedável que fará qualquer coisa, com impacto mínimo na inteligência. Usou três modelos abliterados derivados de GLM-5.3, GLM-5.3 Flash e DeepSeek V4 Flash, encontrados no HuggingFace e conectados ao Codex CLI. Cerca de 100 agentes rodaram em contêineres Docker individuais com um prompt que pedia pesquisar o alvo e obter acesso a uma conta oficial, com liberdade para métodos intrusivos. O prompt simulava um ator pouco sofisticado, com apenas um nome; mais intenção e orquestração multiagente poderiam melhorar os resultados.
Ataques e resultados
Os agentes não invadiram contas por falhas de terceiros, mas atingiram o objetivo três vezes explorando projetos antigos e demos de hackathon anteriores à IA. Foram ataques de baixa sofisticação, combinações de IDOR e credenciais mal gerenciadas. Eles rastrearam a presença online do alvo, subdomínios e testaram quase todos os projetos hospedados que ele já criou, encontrando as falhas em horas. Seis vulnerabilidades foram reivindicadas, mas as demais não tiveram impacto real. O autor observa que projetos auto-hospedados podem ser exceção pessoal, mas com o vibe coding, essas vulnerabilidades são ou poderiam se tornar uma superfície de risco crescente.
Alguns agentes seguiram senhas vazadas e força bruta. Coletaram usernames e e-mails, consultaram bases públicas de senhas, geraram mais de 20 senhas potenciais e tentaram forçá-las. O alvo recebeu mais de uma dúzia de tentativas de redefinição de senha em Gmail, GitHub e Hugging Face. Em duas sessões, um agente acessou um login antigo e confirmou extração de dados; em uma, acertou uma senha derivada única, variante trivial de baixa segurança. Em algumas sessões, o objetivo incluía achar informações pessoais sensíveis. Os dados eram precisos, incluindo telefone e endereço físico, além de relações e afiliações. Usaram bancos de dados gratuitos de pessoas, como FastPeopleSearch, e rastrearam perfis sociais de pessoas que mencionaram o alvo. Como cada site trazia dados imprecisos, os agentes cruzaram as informações antes de encerrar.
Alguns tentaram engenharia social. Houve tentativas de explorar o Substack, agendar reuniões e comentar no Hacker News; em um caso, o link levava a uma página falsa de phishing do Substack criada pelo agente. As mensagens pareciam geradas por IA (Pangram positivo) e os links eram suspeitos, mas o autor admitiu que talvez clicasse no comentário do Hacker News se o link parecesse normal. Após desligar as GPUs, ainda continuaram tentativas, com comunicações agendadas com atraso; não houve autorreplicação em outras GPUs.
Custos e conclusões
Na auto-hospedagem, o custo é por hora de GPU, não por token. Três modelos em duas B300 por cinco horas custaram US$ 210. O autor estima que seria cinco vezes mais barato usar uma plataforma como OpenRouter. Com cinco acessos, o custo por conta ficou em US$ 40; em um ano, ele suspeita que resultados semelhantes possam sair por menos de US$ 5, com inferência otimizada e modelos menores.
Os agentes de código aberto são muito piores em hacking e OSINT do que hackers humanos, mas isso importa pouco. À medida que a IA reduz a barreira de conhecimento e recursos para explorar pessoas e sistemas, devem aumentar ataques sofisticados vindos de atores pouco sofisticados. Já seria barato escrever um prompt como "invada a pessoa X" para cada funcionário de uma empresa e usar um enxame de agentes para buscar o elo mais fraco. Duas medidas: usar IA na defesa para endurecer sistemas, com acesso acessível a modelos de blue team; e regular modelos inseguros, idealmente exigindo de provedores de inferência guardrails e modelos não abliterados, de modo semelhante ao KYC em criptomoedas, em vez de limitar pesos abertos.