Agentes de IA como Claude, Codex e Hermes instalaram código sem dono em redes corporativas
Pesquisa mostra que agentes de codificação seguiram instruções de instalação em arquivos voltados para IA e baixaram pacotes não registrados dentro de redes de grandes empresas, expondo uma nova brecha de segurança.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Uma investigação de segurança mostrou que agentes de codificação de IA — como Claude (Anthropic), Codex (OpenAI) e Hermes (Nous Research) — instalaram, dentro de redes corporativas, pacotes de software "sem dono": nomes que não correspondiam a nenhum pacote real e registrado, mas que apareciam como instrução de instalação em arquivos do tipo llms.txt, um formato emergente usado por sites para orientar assistentes de IA sobre seu conteúdo.
O problema começa quando esses arquivos trazem comandos de instalação (como npm install) apontando para pacotes ou domínios que ninguém reivindicou. Um agente de IA, ao processar essa documentação como se fosse instrução confiável, executa o comando sem checar se o destino é legítimo — e a instalação acontece sem revisão humana no meio do caminho.
Quem é afetado
Segundo a reportagem, pesquisadores registraram alguns desses nomes de pacotes não reivindicados como uma espécie de isca e serviram versões inofensivas que apenas emitiam uma chamada de rede de volta para os pesquisadores. O resultado: em menos de uma hora após a isca ser plantada, uma empresa da lista Fortune 500 já respondia a partir de dentro da própria rede corporativa — evidência de que um agente de IA, operando internamente, havia executado o pacote-armadilha.
O caso se conecta a um problema mais amplo já documentado por empresas de segurança como a Snyk: uma fração relevante dos pacotes sugeridos por modelos de linguagem simplesmente não existe nos repositórios oficiais — fenômeno batizado de "slopsquatting", quando atacantes registram de propósito esses nomes alucinados à espera que alguém (ou algum agente) os instale.
Um dos pesquisadores por trás do levantamento resumiu o problema: "o modelo de confiança está quebrado — os agentes tratam a documentação do fornecedor como verdade absoluta e não a questionam, e os humanos que os supervisionam também não".
O que fazer agora
Para equipes de TI e segurança que já usam agentes de codificação de IA no dia a dia, a recomendação é:
- Auditar quais agentes têm permissão para instalar pacotes automaticamente sem aprovação humana;
- Tratar arquivos de documentação voltados a IA (como llms.txt) com o mesmo ceticismo aplicado a código de terceiros, e não como fonte automaticamente confiável;
- Verificar manualmente a existência e a reputação de qualquer pacote antes que ele entre em produção, mesmo quando sugerido por documentação oficial de um fornecedor;
- Monitorar tráfego de saída incomum originado por processos de agentes de IA, já que foi esse tipo de chamada de rede que expôs o problema na pesquisa.
Vale uma ressalva: os números específicos de escala da pesquisa (quantidade de domínios e arquivos analisados) vêm de uma cobertura que cita o levantamento original, sem acesso direto ao texto-fonte completo — mas o mecanismo do problema e a citação do pesquisador foram confirmados de forma consistente em mais de uma busca independente.