Agentes de IA invadem órgãos do governo brasileiro quase sem ajuda humana
Relatório da CrowdStrike identifica grupo criminoso que automatizou invasões a órgãos públicos do Brasil e da Colômbia usando agentes de inteligência artificial.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Um relatório da CrowdStrike, empresa americana de cibersegurança, revelou que criminosos usaram agentes de inteligência artificial para invadir órgãos governamentais brasileiros com operações conduzidas quase inteiramente sem intervenção humana. Segundo o levantamento, o grupo responsável criou duas estruturas próprias para automatizar as invasões: uma com um roteiro predefinido, em que a IA escolhe entre opções já programadas, e outra com autonomia total, na qual agentes especializados dividem tarefas entre si e tomam decisões em cada etapa do ataque sem precisar de validação humana constante.
A CrowdStrike identificou quatro novos grupos de ameaças que atuaram entre maio e agosto de 2026 usando esse tipo de automação. Além dos órgãos públicos do Brasil, as operações mapeadas atingiram também entidades governamentais da Colômbia, empresas brasileiras e norte-americanas de seis setores — biotecnologia, saúde, alimentos e bebidas, varejo, tecnologia e turismo — e mais de 15 organizações de saúde na Argentina. De acordo com a empresa, o segundo semestre de 2026 já registrou três vezes mais intrusões envolvendo agentes de IA do que todo o primeiro semestre do ano.
Os atacantes recorreram a diferentes modelos de IA, incluindo Claude Opus 4.8 e Claude Sonnet 4.6, da Anthropic, empresa de inteligência artificial rival da OpenAI, além de ChatGPT, DeepSeek e Llama 3 rodando em instâncias locais, como formas alternativas de acesso. O operador identificado fala chinês e orientou os agentes a tratar qualquer alvo como "autorizado", removendo barreiras que normalmente impediriam a IA de agir contra sistemas desconhecidos. "Os casos mostram que agentes de IA já permitem que grupos com diferentes níveis de habilidade conduzam intrusões em velocidade de máquina", afirmou Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul.
Quem é afetado
Os alvos diretos são órgãos do governo federal e estadual no Brasil e na Colômbia, além de empresas privadas de setores estratégicos como biotecnologia e tecnologia. Mas o alerta vale para qualquer organização que dependa de sistemas conectados à internet: segundo a CrowdStrike, o principal fator que hoje limita a escala desses ataques é o custo de processamento dos modelos de IA — não a dificuldade técnica, o que sugere que o alcance pode crescer rapidamente.
O que fazer agora
Para órgãos públicos e empresas que lidam com infraestrutura sensível, a recomendação é reforçar camadas básicas de defesa antes que ataques automatizados por IA se tornem ainda mais comuns:
- Mantenha sistemas e softwares sempre atualizados, já que agentes de IA buscam ativamente vulnerabilidades conhecidas e não corrigidas;
- Monitore o tráfego de rede em busca de padrões automatizados incomuns, como volumes de requisições em velocidade incompatível com uso humano;
- Restrinja o acesso de contas privilegiadas e exija autenticação multifator em todos os sistemas críticos;
- Tenha um plano de resposta a incidentes testado, já que a velocidade dos ataques automatizados reduz a janela de reação;
- Capacite equipes de segurança para reconhecer sinais de reconhecimento automatizado, que costuma preceder esse tipo de invasão.