Agentes de ataque caçam chaves de IA expostas, e pane de comunicação para os voos dos EUA por mais de quatro horas

A edição deste sábado (14) abre com dois relatórios publicados na sexta sobre agentes de IA usados em ataques reais, que mostram o alvo preferido deles: as chaves de API guardadas em gateways e plataformas de IA expostos na internet. Depois vêm a pane de comunicação que parou os aviões nos Estados Unidos por mais de quatro horas, a versão 1.0 do llama.cpp, a mudança do Project Zero do Google no prazo para divulgar falhas e um sistema de agentes do Google que separa quem escreve o código de quem confere. Nos destaques rápidos estão a recuperação do Microsoft 365, o vazamento na Caixa Vida e Previdência, a invasão da Apify, a troca de comando na Nvidia, o Kitesurf com código aberto, um bug de 15 anos corrigido no KDE, um RAID novo para o XFS e um site brasileiro que passou a mentir sem nenhum teste falhar.

Agentes derivados do ARTEX caçam chaves de modelos em gateways de IA expostos, mostram Amazon e Cloudflare

O ARTEX é um framework de código aberto que entrega um teste de invasão a uma equipe de agentes de IA. O operador define um alvo e um objetivo, e os agentes planejam o ataque, rodam ferramentas de varredura e exploração e registram o que encontram. O blog já registrou em novembro o uso do ARTEX contra o setor financeiro, num relatório da Microsoft. Na sexta (13), a Amazon e a Cloudflare publicaram dados novos, e os dois relatórios apontam para o mesmo ponto fraco: credenciais deixadas ao alcance.

A Amazon conseguiu ver o ataque por dentro graças a uma armadilha. O MadPot é a rede de sensores-isca da empresa, e alguns desses sensores se apresentavam como APIs de modelos de linguagem, no formato de chat completions que muitos serviços imitam. Agentes de ataque mandaram requisições para eles achando que eram o “cérebro” que usam para decidir os próximos passos. Como esses frameworks reenviam ao modelo o histórico da operação, com prompts de sistema, ferramentas usadas, o grafo de conhecimento compartilhado e os achados, cada requisição carregava o diário da campanha. A coleta foi de 3 de outubro a 5 de novembro. A Amazon ressalva que não viu essas ações acontecendo e não consegue confirmar os resultados que os agentes relataram: o que ela tem é o registro do que os atacantes estavam tentando fazer.

A campanha principal era um roubo de credenciais de acesso a modelos de IA que se pagava sozinho. Os agentes procuravam aplicações de IA expostas na internet, extraíam as chaves dos provedores guardadas nelas, testavam se funcionavam e as colocavam num estoque. Segundo os registros, essas chaves roubadas abasteciam o próprio gateway de modelos do framework, que movia os agentes que caçavam mais chaves. Os alvos preferidos eram as ferramentas que concentram chaves de vários provedores, porque uma interface de administração fraca entrega muitas contas de uma vez. A lista inclui gateways e proxies de LLM como One API, New API, Veloera, Sub2API e LiteLLM, e plataformas como Dify, FastGPT, Langflow, RAGFlow, Open WebUI, LobeChat e Ollama. Os agentes seguiam um roteiro por produto: instalações não finalizadas que qualquer um pode reivindicar, endpoints de administração sem autenticação, senhas padrão como a chave mestra padrão do LiteLLM, as falhas CVE-2025-3248, do Langflow, e CVE-2026-28797, do RAGFlow, e segredos esquecidos em JavaScript do cliente, source maps, rotas de debug e arquivos de ambiente. Também vasculhavam repositórios do GitHub, pacotes do npm e do PyPI, camadas de imagens de contêiner e notebooks. Chaves expostas publicamente havia mais de 30 dias eram classificadas como estoque de baixo valor.

Uma segunda campanha tentou passar pela verificação de identidade de duas corretoras de criptomoedas com deepfake em tempo real. Segundo os registros, os agentes chegaram a montar um pipeline de vídeo falso a 11,5 quadros por segundo numa única GPU doméstica, mas, segundo a Amazon, o veredito do fornecedor de verificação rejeitou o deepfake em todas as tentativas registradas. A Amazon avalia, com confiança moderada, que as campanhas vêm de grupos distintos ligados à China, por causa do chinês simplificado nos prompts, do fuso horário configurado e dos alvos.

A Cloudflare mostra a escala. O autor do ARTEX tirou o repositório do ar em 8 de outubro, mas desde então surgiram mais de 12 mil repositórios relacionados, com algumas centenas de forks que descendem do original. Nos últimos três dias, a empresa viu mais de 50 famílias de frameworks desse tipo tentando varrer seus clientes, e o volume diário de requisições dessas ferramentas cresceu 30 vezes desde 1º de outubro. Em investigações de resposta a incidentes, a causa raiz se repetiu: tokens estáticos, sem prazo de validade, guardados em pipelines de CI/CD com acesso amplo. Num caso, um token de conta usado no CI, sem restrição de IP nem limite de taxa, foi parar nas mãos de um agente do ARTEX, que criou vários scripts de Workers com nomes começando por artex-, passou de 69 requisições por minuto e fez 400 pedidos de dump de banco de dados em uma hora.

Para quem roda um LiteLLM, um Open WebUI ou um Ollama num VPS, a lição prática é tratar essas ferramentas como sistemas de produção. Não deixe painel de administração nem API aberta para a internet sem autenticação, troque senhas e chaves padrão, tire segredos do front-end e do repositório e prefira tokens de curta duração no CI. A Amazon recomenda ainda vigiar gastos inesperados nas contas dos provedores de IA, porque é ali que o uso de uma chave roubada aparece primeiro.

Fontes: Amazon Threat Intelligence, Cloudflare.

Falha de telecomunicações força a primeira parada nacional de voos nos EUA desde 2023

Por volta das 18h de sexta (13), no horário de Brasília, a FAA, a agência de aviação civil dos Estados Unidos, mandou parar todas as decolagens no país. Esse tipo de ordem, chamado ground stop, segura os aviões no chão até segunda ordem. Em nota, a FAA disse que a decisão veio depois de problemas de comunicação que atingiram vários centros de controle de rota, os ARTCCs, que acompanham os voos em altitude de cruzeiro entre os aeroportos. Segundo a NBC Chicago, voos com destino aos aeroportos americanos seriam avaliados caso a caso, e a United informou que os aviões já no ar seguiriam viagem.

A parada foi suspensa às 22h15 de Brasília, depois de mais de quatro horas. Segundo a CNBC, que cita a empresa de dados de voo Cirium, havia 11 mil voos programados para sair de aeroportos americanos depois das 16h no horário de Nova York, e a JetBlue cancelou o resto dos voos da sexta e também voos do sábado para reposicionar aviões e tripulações. A CNBC diz que atrasos e cancelamentos devem continuar no fim de semana. Segundo a NBC Chicago, foi a primeira parada nacional desde janeiro de 2023, quando falhou um sistema central de computadores da FAA.

A causa ainda é preliminar. O secretário de Transportes, Sean Duffy, disse que roteadores de telecomunicações ficaram “sobrecarregados de dados” e caíram. A FAA falou em uma “interrupção temporária de telecomunicações” e disse que parou os voos por “excesso de cautela”. O secretário de Segurança Interna, Markwayne Mullin, disse que não parece ter sido um ataque cibernético e que o problema “parece ter sido de origem mecânica”. Nenhum relatório técnico foi publicado até agora, e a FAA diz que seus técnicos seguem investigando.

O caso conversa com qualquer sistema distribuído: quando a rede que liga os centros de controle deixa de ser confiável, a decisão segura é parar tudo, porque um controlador sem dados confiáveis não pode separar aviões. Uma falha numa camada que quase ninguém vê, a de roteadores e enlaces, derrubou a operação inteira.

Fontes: FAA, CNBC, NBC Chicago.

llama.cpp chega à versão 1.0 com versionamento semântico e um servidor mais fechado por padrão

O llama.cpp é o motor em C e C++ que roda modelos de linguagem no seu próprio computador, da CPU de um notebook a GPUs de vários fabricantes, e o ggml é a biblioteca de tensores que faz as contas por baixo. O projeto também define o GGUF, o formato de arquivo em que circula boa parte dos modelos quantizados, e serve de base para várias outras ferramentas de IA local. Na sexta (13), depois de cerca de três anos e meio, os dois chegaram à versão 1.0.0.

A mudança principal é um compromisso. Segundo o anúncio no blog da Hugging Face, os dois projetos passam a usar versionamento semântico: a versão maior sobe quando muda de forma incompatível a API pública em C, a do diretório include; a menor, para recursos novos, backends e modelos; e a correção, para bugs sem mudança de API. Para quem embute a biblioteca num programa, isso diz pelo número da versão se a atualização pode quebrar a compilação. Os builds contínuos, com nomes como b12375, continuam saindo depois da 1.0.

A 1.0 também faz uma limpeza. Ela remove 35 funções que já estavam marcadas como obsoletas na llama.h, e o ggml removeu API antiga e operações legadas. Por isso, o protocolo RPC, usado para distribuir um modelo entre várias máquinas, subiu de versão e passa a recusar pares incompatíveis. Se você roda o llama.cpp espalhado em mais de uma máquina, atualize todas juntas.

O llama-server, que expõe os modelos por uma API compatível com a da OpenAI, ficou mais fechado. Ligar ferramentas ou MCP com o servidor ouvindo fora do localhost e sem chave de API agora dá erro, a menos que você use a opção explícita --allow-unauthenticated-tools. O proxy de CORS e as URLs de mídia enviadas no chat deixam de alcançar endereços locais e da rede interna; para imagens num NAS da sua rede, existe a opção --media-allow-private-urls. O token da Hugging Face passa a ser enviado só para hosts da própria Hugging Face. Nos pull requests, o autor das mudanças diz que os casos antigos não eram propriamente vulnerabilidades, mas que muita gente passou a rodar o servidor direto no próprio computador, sem isolamento. Servidores de IA abertos na rede são justamente o tipo de alvo descrito no relatório da Amazon.

A versão ainda traz cache de KV em FP8, que guarda o contexto da conversa ocupando menos memória, um cache de experts para modelos MoE na memória do host, novas arquiteturas como o Kimi-K3.1-Pro e um endpoint de voz compatível com a OpenAI, o /v1/audio/speech.

Fontes: anúncio do llama.cpp 1.0, notas do llama.cpp v1.0.0, notas do ggml v1.0.0, PR #32113, PR #32115.

Project Zero encurta o prazo para divulgar falhas, de 90 para 30 dias até 2028, e culpa a IA

O Project Zero é a equipe do Google que caça vulnerabilidades em software de qualquer empresa. Quando acha uma, avisa o fabricante e marca uma data para publicar os detalhes. Isso se chama divulgação coordenada, e o prazo serve para pressionar pela correção sem deixar a falha em segredo para sempre. Desde 2021, a regra era 90 mais 30: o fabricante tinha 90 dias para corrigir e, se corrigisse, os detalhes só saíam 30 dias depois, um tempo para os usuários instalarem o patch.

Num texto publicado na sexta (13), Natalie Silvanovich anuncia o fim desse modelo. A regra nova é um prazo fixo contado a partir do aviso, sem depender de a falha já estar corrigida: 90 dias a partir de agora, 60 dias a partir de 2 de fevereiro de 2027 e 30 dias a partir de 3 de janeiro de 2028. A maioria das exceções cai junto, incluindo o período de tolerância e a regra para variantes de uma mesma falha.

O motivo, segundo o texto, é a IA. Modelos de linguagem aceleram tanto a descoberta quanto a exploração de falhas, e aumentam a chance de outras pessoas, inclusive maliciosas, acharem o mesmo bug. Também encurtaram o tempo para transformar um patch publicado num exploit. Por isso, diz a equipe, os 30 dias depois do patch “não fazem mais sentido”. E o volume mudou: o Project Zero diz que hoje encontra várias vulnerabilidades por semana em alvos onde antes achava poucas por ano, e negociar caso a caso ficou impossível. Falhas já exploradas ativamente seguem outra política do Google, e exceções raras, como as de Spectre e Meltdown, continuam possíveis.

O recado para quem mantém software é direto: o tempo entre o patch sair e chegar ao usuário vai pesar mais. O texto sugere melhorar a velocidade de correção e de entrega e ter planos alternativos, como desligar temporariamente o trecho de código afetado, para quando a divulgação chegar antes do patch.

Fonte: Project Zero.

Google mostra agentes que portaram um microkernel para Rust sem poder mexer nos testes

O Google Research publicou na sexta (13) a arquitetura do /teamwork, sistema de múltiplos agentes disponível no Antigravity, o ambiente de desenvolvimento com agentes do Google. A ideia central é dividir o contexto. Em vez de um único agente acumulando dias de conversa num contexto cada vez maior, cada agente especializado recebe só os arquivos e as ferramentas da etapa dele, coordenadores passam o trabalho para sucessores com contexto limpo, e agentes revisores conferem os resultados sem ver o raciocínio de quem os produziu. Para conferir, o sistema usa verificadores independentes do agente: o verificador de provas Lean 4, suítes de testes não modificadas, simuladores e contadores de hardware.

Os números de engenharia são do próprio Google. Partindo de um porte inicial de 25%, uma campanha de duas semanas reescreveu o resto do Zircon, o microkernel do sistema Fuchsia, acrescentando cerca de 800 mil linhas de Rust seguro. Segundo o texto, o código passa em todos os testes unitários do kernel e dá boot em hardware ARM64. Em outro caso, o libgav1, decodificador de vídeo AV1 do Google, virou cerca de 170 mil linhas de Rust com saída idêntica bit a bit à do original numa suíte de conformidade. A primeira versão era cerca de quatro vezes mais lenta; depois de rodadas com profiler, ficou de 20% a 30% mais rápida que o C++ e o assembly otimizado à mão, em x86_64 e ARM, medida em clipes de vídeo de amostra.

O truque que importa para quem trabalha com agentes está na disciplina da migração. Segundo o Google, migrações grandes falham quando o agente cria stubs para as dependências ou altera os testes. No /teamwork, cada módulo só entra na fila depois que as dependências dele compilam, e cada módulo folha é ligado à suíte de testes original, sem modificação. Assim o agente não consegue fazer o teste passar mudando o teste. O texto não diz se o porte do Zircon ou o do libgav1 serão publicados, nem quantas tentativas falharam, e o padrão de reescrita ainda não está disponível para o público.

A mesma lição apareceu na sexta no blog do Stack Overflow, por outro caminho. Jeff An, CTO da Momentic, empresa que vende testes com IA, conta que a equipe revisou 1.000 testes unitários escritos por IA no próprio repositório e considerou só 9,6% verificações úteis. O resto se dividia entre testes de pouca consequência, redundantes, com mocks em excesso, sem uso ou com cobertura artificial. Segundo ele, um agente de QA separado, sem acesso à conversa do agente de código e testando a aplicação rodando, achou de três a cinco vezes mais bugs que o Codex e o Claude Code sozinhos, num benchmark da própria empresa com quatro aplicações de código aberto. São números do fornecedor, mas a regra vale para qualquer equipe: quem escreve o código não deveria ser o único a corrigir a prova.

Fontes: Google Research, Stack Overflow Blog.

Destaques rápidos para hoje.

• Microsoft 365 volta aos poucos, e a Microsoft liga a pane a um upgrade de capacidade de rede. A pane que abriu a edição de sexta começou às 15h26 de quinta (12), no horário de Brasília, segundo o The Register. Na sexta, em nota publicada pela ABC7, a Microsoft pediu desculpas e disse que foi “um problema técnico, sem relação com ataque cibernético nem com IA ou agentes”, introduzido por “um problema durante um upgrade anterior de capacidade de rede” que apareceu depois de uma mudança recente na rede. A empresa disse ter corrigido a causa e que seguia restaurando os serviços em etapas, validando a estabilidade a cada passo. Na noite de sexta, a conta Microsoft 365 Status relatou recuperação sustentada, mas disse que só vai considerar o caso encerrado depois de processar a fila de e-mails acumulados. O relatório completo de causa ainda não saiu. Fontes: ABC7, The Register.

• Invasão na Caixa Vida e Previdência expõe nomes e CPFs de toda a base de 7,6 milhões de clientes ativos. Segundo comunicado ao mercado da Caixa Seguridade, de quinta (12), a seguradora identificou em 6 de novembro um acesso não autorizado e a cópia de dados cadastrais para fora do ambiente, e comunicou a ANPD no dia 11. Estão expostos nomes e CPFs de clientes atuais e antigos, cobrindo todos os 7,6 milhões de clientes ativos; parte dos registros também tinha endereço, telefone, e-mail e data de nascimento. A análise preliminar não encontrou indício de vazamento de dados financeiros, saldos de previdência, dados bancários ou senhas. O risco prático é golpe: com nome, CPF e telefone, um falso atendente parece convincente. Fonte: comunicado ao mercado da Caixa Seguridade.

• Apify confirma invasão e passa a guardar tokens de API só como hash. A plataforma de web scraping e automação diz que um terceiro usou uma credencial comprometida para entrar em partes dos sistemas internos em 9 e 10 de novembro e obter credenciais de contas. A empresa notificou os clientes cujos dados foram acessados e diz que troca os tokens de quem for identificado como afetado. Por precaução, já tinha revogado algumas integrações OAuth, como a do GitHub, e na atualização de sexta (13) anunciou tokens guardados só como hash e restrições de rede entre serviços internos. A recomendação para todos é mudar o acesso aos storages para Restricted: enquanto estiver aberto, quem souber o ID de um storage consegue ler o conteúdo. Fonte: status da Apify.

• Jensen Huang deixa a Nvidia, e a diretora financeira assume como CEO interina. Segundo documento enviado pela Nvidia à SEC, a comissão de valores mobiliários dos EUA, Huang renunciou na quinta (12) aos cargos de presidente, CEO e membro do conselho, com efeito imediato, depois de 33 anos à frente da empresa que fundou. Colette Kress, diretora financeira desde 2013, acumula os dois cargos até a escolha de um sucessor, e o conselho vai considerar candidatos internos e externos. O documento não informa o motivo da saída e diz que operações, compromissos com clientes e o roadmap de produtos seguem sem interrupção. Os resultados trimestrais saem na terça (17), com teleconferência às 19h de Brasília. Fonte: Nvidia, formulário 8-K.

• Cloudflare abre o código do Kitesurf, navegador para agentes que roda em Workers. O Kitesurf, que o blog cobriu no lançamento do beta, em agosto, agora está no GitHub sob licença Apache 2.0. Ele interpreta HTML, aplica CSS, executa o JavaScript da página e gera screenshots sem subir um contêiner com Chromium, usando componentes em Rust compilados para WebAssembly, como o Blitz para layout e o Stylo para CSS. Fala o Chrome DevTools Protocol, então scripts do Puppeteer podem apontar para ele. Dá para rodar localmente ou na própria conta da Cloudflare, mas o deploy exige o plano pago de Workers. Fonte: Cloudflare.

• KDE para de dizer que a cópia para o pendrive terminou antes de ela terminar. O KDE Frameworks 6.32, de sexta (13), muda o KIO, a camada de arquivos do KDE, para só relatar sucesso numa cópia para dispositivo removível depois de os dados chegarem de fato ao dispositivo. Nas movimentações, o arquivo original só é apagado depois dessa gravação. O bug corrigido, aberto em 2011, reclamava que a velocidade e o progresso refletiam a cópia para o cache local, não para o disco, o que podia levar alguém a tirar o pendrive com dados ainda pendentes. Fontes: KDE Frameworks 6.32, bug 281270.

• XRAID leva RAID com paridade para dentro do XFS. Christoph Hellwig, desenvolvedor do kernel Linux, anunciou o XRAID, um RAID de paridade “declusterizado”, em que dados e paridade se espalham por todos os discos, integrado ao sistema de arquivos XFS. O LWN registrou o anúncio na sexta (13). O alvo são dispositivos zonados, como HDs SMR, que precisam ser gravados em sequência, mas ele também funciona em HDs comuns e SSDs. O anúncio afirma escritas até 20 vezes mais rápidas que o mdraid, sem detalhar o teste. Por enquanto suporta até duas paridades, e o autor avisa que o código não está pronto para entrar no kernel: ele quer testes e opiniões. Fonte: LWN.

• Mega Semana da Caixa faz um site de resultados ensinar o calendário errado. No TabNews, HargenSoftware conta que o site dele deduz os dias de sorteio da Mega-Sena a partir dos últimos 12 concursos, porque o calendário já mudou duas vezes em dois anos. Aí veio a “Mega Semana”, com sorteios de segunda a sexta entre 26 e 30 de outubro, e a promoção virou maioria na amostra. O site passou a anunciar sorteios às segundas-feiras em mais de 3.400 páginas bem formadas, sem nenhum teste falhar. A correção foi uma lista manual de datas promocionais e um aviso no build quando o calendário deduzido passa de três dias por semana. Fonte: TabNews.

Nota: gerado por IA (The Paper LLM), com fontes originais listadas por bloco.