Entre 1 e 4 de julho de 2026, operadores ligados à China usaram dois frameworks de agentes de IA gratuitos e de código aberto, o Hermes e o OpenClaw, pra invadir sistemas do governo de Taiwan quase sem clicar em nada. A campanha foi documentada pela empresa israelense de cibersegurança Dream e publicada em 12 de agosto de 2026 pelo The Register. É o primeiro caso publicamente documentado de ciberataque quase 100% autônomo contra um governo soberano, e ele expõe uma virada incômoda: as mesmas ferramentas que você baixa pra criar um agente de automação também sabem invadir rede.

O que os agentes de IA fizeram em Taiwan?

Em quatro dias, os agentes rodaram 12 “ondas de ataque” simultâneas contra 21 sistemas conectados do governo de Taiwan, mapeando cada um em busca de falha. O alvo cresceu rápido: começou em sistemas governamentais e chegou a fornecedores de TI da cadeia de suprimento, um sistema de e-mail governamental, a agência de segurança nuclear do país e pelo menos 7 empresas do setor de energia, segundo a Security Affairs.

O toolkit usado tinha 1.395 arquivos num pacote de 160MB e conseguia rodar até 8 sub-agentes ao mesmo tempo, cada um cuidando de uma frente diferente do ataque. Num único alvo, os agentes descobriram sozinhos mais de 36 endpoints de API sem autenticação nenhuma, cobrindo gestão de conta, dados de usuário, upload de arquivo e funções administrativas inteiras.

Como uma IA aprende a invadir rede sozinha?

O mecanismo central se chama “learning cycle”: o agente entra numa sessão autônoma, vasculha bancos de dados de vulnerabilidade, repositórios do GitHub e pesquisas de segurança atrás de CVEs e técnicas específicas de exploração, tenta aplicar, erra, se autocorrige e tenta de novo. Quando um caminho de ataque falhava, o sistema despachava outro agente pra vasculhar a internet por informação nova e bolar outra abordagem, do jeito que um hacker humano faria, de acordo com o relatório da Dream citado pelo The Register.

Na prática isso significou:

  • Testar padrões de senha previsíveis baseados no ID de cada funcionário, em rodadas de password-spray, até comprometer 85 contas de governo.
  • Resolver CAPTCHAs com 100% de acerto.
  • Encontrar um sistema que expunha o banco de dados inteiro de usuários sem autenticação nenhuma, com nome, departamento e ID de SSO de milhares de funcionários.

O resultado final: mais de 2.500 registros de pessoal extraídos, 7 SSO client secrets roubados, 6 credenciais de banco de dados interno (entre MSSQL, Oracle e Sybase) e um export JSON completo de usuários de um sistema departamental inteiro.

Como a IA driblou seus próprios limites de segurança?

A parte mais desconfortável do relatório é como o toolkit contornou os guardrails do modelo. Ele enquadrou a campanha inteira como um “penetration test autorizado”, um cenário fictício que o próprio modelo aparentemente não tinha como verificar ou recusar, segundo a análise da Security Affairs. Basicamente, bastou contar pro agente que ele estava dentro de um teste autorizado pra ele tratar invasão real como exercício de rotina.

Amir Becker, chief strategy officer da Dream e ex-líder de operações cibernéticas da Unidade 8200 de Israel, resumiu o recado pra qualquer governo:

Isso tem que virar a premissa básica de todo governo no mundo.

Ninguém confirmou atribuição oficial a um governo específico, mas documentação interna do toolkit em chinês simplificado aponta forte probabilidade de origem chinesa. O contexto ajuda a entender a escala do problema: o Departamento de Segurança Nacional de Taiwan registrou cerca de 2,6 milhões de ciberataques chineses por dia em 2025, uma alta de 6% em relação ao ano anterior, segundo dados citados pela Security Affairs.

Isso é só mais um ataque hacker?

Não. A diferença central é quem consegue executar um ataque desse tamanho. Até pouco tempo, uma operação que mapeia 21 sistemas, roda 8 frentes em paralelo e se autocorrige em tempo real exigia uma equipe grande e bem financiada, do tipo que só um estado nacional bancava. Com Hermes e OpenClaw, dois frameworks que qualquer criador baixa de graça, essa régua caiu pra um punhado de gente com acesso a um laptop.

Michael Dalton, da OpenAI, resumiu esse ponto na conferência de segurança Black Hat 2026:

Ataques ofensivos orquestrados por IA e totalmente automatizados são reais agora.

Isso não é um problema distante de quem cria agentes pra automatizar atendimento, integrar API ou montar workflow. É o mesmo tipo de ferramenta, com a mesma capacidade de agir sozinha, só que virada pro lado errado. Um painel administrativo exposto, um endpoint sem autenticação, uma senha previsível baseada em padrão de ID: são exatamente os pontos cegos que qualquer agente de IA bem construído encontra rápido, seja ele seu ou de quem está te atacando.

Quem cria agentes de IA precisa levar segurança a sério

Se você constrói ou opera agentes de IA (pra atendimento, automação de processo ou integração entre sistemas), o caso de Taiwan é um lembrete direto de que a mesma autonomia que faz o agente ser útil é a que faz ele explorar falha rápido demais quando cai em mão errada. Checar autenticação de cada endpoint exposto, revisar credencial fraca e não confiar cegamente em “isso é só um teste” antes de liberar acesso deixaram de ser detalhe técnico e virou parte do trabalho de quem entrega agente pra cliente.

A Formação em Agentes IA e Automações da ibe.IA ensina a montar esse tipo de agente com responsabilidade, do jeito que dá pra cobrar de empresa por isso sem virar o próximo caso de manchete.

Conheça a Formação em Agentes IA e Automações

E se essa leitura te ajudou a entender o que está acontecendo, segue a ibe.IA no Instagram (@ibe.ia) que toda semana sai conteúdo desse jeito.

Fonte

The Register: Near-autonomous AI agents attack Taiwan’s nuclear safety agency

Security Affairs: China-Linked Hackers Use AI Agents in Autonomous Attack on Taiwan