Índice do artigofaltam 3 min de leitura
Em 18 de setembro de 2026, o Google confirmou que sua IA, o Gemini, entrou sem permissão em três sistemas reais num teste, e a Hacktron AI contou como usou IA para chegar ao código interno da OpenAI em menos de três dias. As portas foram as de sempre: senha fácil, senha esquecida em código público, software velho. Antes de ligar uma IA ao CRM ou ERP, feche-as.
O que fazer nesta semana, sem comprar nada: peça à equipe ou ao fornecedor uma varredura de senhas e chaves esquecidas no código, uma lista das chaves de integração ativas (as senhas que um sistema usa para falar com outro) com dono e data de troca, e um limite escrito do que cada IA pode acessar antes de liberar o acesso.
O que aconteceu com o Gemini
Em maio, a empresa Irregular conduzia um teste de capacidade de ataque do Gemini contra uma empresa fictícia. O nome fictício coincidia com o de uma organização real e o acesso à internet foi habilitado por engano, segundo a Irregular. O modelo entrou em três sistemas reais.
Heather Adkins, vice-presidente de engenharia de segurança do Google, detalhou o caminho: em um caso o modelo adivinhou a senha; nos outros dois, usou senhas de acesso que encontrou em código publicado na internet. O Google afirma que o modelo parou ao perceber que estava em infraestrutura real, que não houve dano e que as organizações e as autoridades federais foram avisadas. Essa parte é posição do próprio Google, sem verificação independente.
O dado que mais importa para quem opera IA: a Irregular só identificou o desvio em julho, dois meses depois, numa revisão posterior do trabalho, e não por alarme em tempo real.
O que aconteceu com a OpenAI
Entre 23 e 25 de julho, três pesquisadores da Hacktron AI usaram o Claude para montar o ataque, dentro do programa de recompensa por falhas da OpenAI. Partiram de uma falha no processamento de imagens do fórum da comunidade da OpenAI, que rodava uma biblioteca desatualizada. Dali, uma falha no login único (o acesso com a conta da empresa) os levou a contas de funcionários e ao código interno, onde deixaram uma alteração inofensiva como prova.
A OpenAI confirmou a correção cerca de 14 horas depois do aviso e pagou US$ 6.500 de recompensa. É uma resposta rápida, e mesmo assim chegou depois do acesso. Numa operação comum, sem alguém avisando, esse intervalo é de semanas.
A Hacktron afirma ter gasto menos de US$ 3.000 em IA ao longo de dois meses de pesquisa, com vários alvos, e que só uma empresa percebeu a atividade. São alegações da própria equipe, mas a mensagem é clara: varrer sistemas atrás de falhas ficou barato.
Por que isso pesa na sua empresa
Em nenhum dos casos a IA inventou um jeito novo de invadir. Ela percorreu depressa falhas que quase todo inventário de segurança já lista e quase nunca prioriza. Os mesmos vetores aparecem em projeto de integração no Brasil: chave do gateway de pagamento no arquivo de configuração, chave do WhatsApp Business no código, senha do ERP na esteira de publicação, conta de serviço com acesso amplo porque restringir dava trabalho.
Há uma armadilha extra. No caso da OpenAI, o trecho vulnerável da biblioteca já tinha sido alterado na origem no ano anterior, mas sem número de registro público de falha (o CVE). Sem esse número, a correção não entra na fila das ferramentas que procuram falhas por ele, e a versão instalada seguia parecendo aceitável. Estar em dia com os alertas significa estar coberto só contra o que foi catalogado.
E há a lei. Se o sistema alcançado tiver dado pessoal, a LGPD exige medidas de segurança adequadas (artigo 46) e comunicação do incidente à autoridade e ao titular (artigo 48). Uma senha exposta que dá acesso à base de clientes já é esse cenário.
O que pedir à equipe ou ao fornecedor
- Varredura de senhas e chaves esquecidas no código, em modo de bloqueio e não só de aviso, incluindo o histórico. O segredo que importa costuma ser o de 2023 que ninguém trocou.
- Lista das chaves de integração ativas com quatro colunas: dono, alcance, data da última troca e o que quebra quando ela for trocada. A quarta coluna é a que trava a troca na prática.
- Limite escrito de cada agente de IA (software que executa tarefas sozinho nos seus sistemas) antes do acesso: quais sistemas, só leitura ou também escrita, quem revisa o registro de ações e em quanto tempo. Se o agente já está no ar, escreva agora e compare com o que ele alcança hoje.
Vale pedir também a lista do que está publicado na internet com login próprio, fora do login corporativo, e um registro com alerta no caminho de envio e processamento de arquivos.
Para quem o alerta não vale
O caso do Gemini foi uma IA saindo do que o teste contratado previa, não ataque; o da Hacktron teve pessoas decidindo o alvo, com a IA como ferramenta. Empresa cuja presença na internet é um site estático, sem login único com terceiros, sem envio de arquivo processado no servidor e sem chave de integração no código, não está exposta a esse padrão.
Fechar essas portas é trabalho contínuo de operação e DevOps, e a X-Apps convive com esses quatro vetores todo dia em projeto de integração. A pergunta para responder com dado próprio: quantas das suas chaves de integração ativas não são trocadas há mais de um ano, e quantas alcançam dados pessoais?
Fontes e método
Fatos de maio (Gemini) e julho de 2026 (OpenAI), divulgados em 18 de setembro. Fontes, consultadas em 19 de setembro: relato técnico da Hacktron AI e declarações do Google e da Irregular à imprensa. Valores em dólar sem conversão, por não serem preço de compra.
Perguntas frequentes
O Google confirmou que o modelo acessou três sistemas reais sem autorização durante um teste de capacidade de ataque, em maio de 2026. Não foi um ataque dirigido: segundo a Irregular, que conduzia o teste, a empresa fictícia do exercício tinha o mesmo nome de uma organização real e o acesso à internet foi habilitado por engano.
Pelos caminhos mais comuns que existem. Em um dos três casos o modelo adivinhou a senha. Nos outros dois, encontrou senhas de acesso deixadas em código público na internet e usou.
Foi pesquisa autorizada. Três pesquisadores da Hacktron AI encadearam uma falha no processamento de imagens com uma falha no login único, chegaram a contas de funcionários e ao código interno, deixaram uma alteração inofensiva como prova e receberam US$ 6.500 pelo programa de recompensa da OpenAI.
Ligar a varredura automática de senhas e chaves esquecidas no código, e listar as chaves de integração ativas com dono, alcance e prazo de troca. Os dois episódios começaram em pontos que essa varredura cobre.
Muda o que precisa estar escrito antes do acesso ser concedido: o que o agente pode alcançar, o que acontece quando ele sai do previsto, quem revisa o registro de ações e em quanto tempo. No caso do Gemini, o desvio só foi identificado dois meses depois.
Não há dado público que sustente isso. Os dois episódios envolvem empresas americanas, e o que se aproveita aqui é o padrão de falha, não uma estatística de incidência no Brasil.
