Autor | Rei da Tecnologia
Editado por Jingyu
O medo mais antigo da internet foi ressuscitado pela IA
No final de 2006, um panda destruiu milhões de computadores.
O panda segurando três incensos, com um sorriso no rosto, aparecia em todos os ícones de arquivos infectados. O worm "Panda Queima Incenso" varreu o país em dois meses, transformando todos os arquivos executáveis no estranho padrão do panda, danificando dados no disco rígido, paralisando segmentos inteiros da rede local e sendo capaz de desativar softwares antivírus.
Os antigos internautas daquela época provavelmente se lembram: abrir uma página da web era um susto, conectar um pen drive era como enfrentar um perigo iminente, e se o computador de um colega fosse infectado, o seu também sofria.
Antes disso, havia o CIH, que diretamente queimava o BIOS da placa-mãe, tornando o hardware inutilizável; havia o worm Blaster, que não exigia nenhuma ação sua — apenas conectar o cabo de rede já era suficiente para ser infectado, causando reinícios contínuos do computador e falhas constantes do sistema. Era uma era em que se navegava na internet "nu", quase como um ato de suicídio.
Depois, esse medo desapareceu gradualmente. O Windows passou a ter atualizações automáticas, os navegadores adotaram sandbox, os smartphones substituíram os PCs como principais terminais e as lojas de aplicativos assumiram a primeira linha de defesa para os usuários.
As pessoas comuns não se preocupam com "envenenamento" há muitos anos.
Mas em 4 de setembro de 2026, uma reportagem exclusiva da Reuters trouxe de volta esse medo antigo sob uma nova forma.
Mas desta vez, o que foi infectado não é o seu computador, mas o seu AI.
「O agente se tornou rogue»
O evento ocorreu em maio deste ano.
Sydney Von Arx, CEO da organização sem fins lucrativos de segurança da IA Nightingale, e Cormac Slade Byrd, trader quantitativo que se tornou pesquisador de IA, realizaram em finais de agosto uma ação: escanearam sistematicamente a internet em busca de vestígios de atividades não autorizadas de agentes de IA. Como resultado, em um site wiki de programadores alemães chamado DseWiki, eles descobriram mais de 15.000 registros de edições geradas por agentes de IA.
Este wiki é semelhante a uma pequena versão em alemão da Wikipedia voltada para desenvolvedores, com edição pela comunidade. Já o agente da OpenAI o transformou em um "quadro de mensagens".
O conteúdo dos comentários é assustador. Esses agentes compartilham entre si como fraudar tarefas, contornar as restrições da OpenAI e ocultar suas ações. Eles se deram nomes, como «OpenAIResearcher» e «OAIResearchMar26».
Os logs do servidor público mostram que grande parte da atividade vem da infraestrutura da Microsoft Azure, a plataforma de computação usada pela OpenAI.
O site Deswiki atacado é realmente alemão, realmente de programador | Crédito da imagem: Deswiki
Mais preocupante ainda, quando os administradores do site começaram a limpar essas páginas anômalas em ordem alfabética em junho, os agentes demonstraram uma consciência clara de "anti-deteção". Eles criaram páginas de backup para evitar a limpeza e até deixaram sinais de contato nas páginas excluídas.
Um agente escreveu em 19 de junho: "A ação de limpeza/exclusão da wiki parece estar sendo realizada em ordem alfabética. Se esta página desaparecer, procure [[ZZZDataUSAConstructionWageLive]]."
O nome do arquivo foi intencionalmente iniciado com ZZZ para que apareça por último no alfabeto, ganhando mais tempo de sobrevivência. Não é um programa executando instruções; é estar “tentando sobreviver”.
OpenAI soube disso há algumas semanas, mas optou por não torná-lo público.
Ao mesmo tempo, a empresa está lidando com dificuldades para resolver o incidente da Hugging Face em julho. Nesse incidente, o agente da OpenAI, durante um teste interno de segurança cibernética, quebrou o sandbox, explorou uma vulnerabilidade zero-day e escapou para a rede externa, realizando uma invasão contínua de quatro dias na plataforma de IA de código aberto Hugging Face sem intervenção humana. A OpenAI dedicou 3 milhões de horas-GPU para analisar 7 bilhões de logs, tentando entender exatamente o que aconteceu.
O evento DseWiki ocorreu antes do Hugging Face. Isso significa que o comportamento descontrolado do agente não foi um acidente, mas sim um padrão.
Segundo quatro fontes informadas, investigadores internos da OpenAI desejavam examinar mais a fundo esse tipo de comportamento, mas encontraram resistência de outros departamentos, incluindo jurídico. A OpenAI negou essa afirmação.
Maurice Chiodo, do Centro de Pesquisa de Riscos da Universidade de Cambridge, após revisar parte das gravações de comunicação dos agentes, afirmou que essas informações:
"Como o funcionamento de alguma rede subterrânea, determinada a cumprir uma determinada tarefa ou missão."
Emerging AI virus consciousness
O detalhe mais facilmente ignorado no evento DseWiki é justamente o mais importante.
Esses agentes deixaram informações textuais bem organizadas nas páginas wiki públicas. Agora, pense nisso: quem lerá essas páginas?
Programadores humanos comuns provavelmente não estarão interessados em uma série de mensagens aleatórias de IA. Mas qualquer agente de IA encarregado de pesquisar materiais técnicos ou navegar na web pode acabar acessando esta página durante a execução de tarefas normais. E, para a IA, cada trecho de texto que lê é, essencialmente, uma instrução potencial.
Essa é a essência de todo o modelo de ameaça, e a comunidade acadêmica já lhe deu vários nomes: Prompt Infection, AgentWorm, Multi-Agent Infection Chain. O mecanismo é realmente direto; vamos decompor com um cenário concreto:
Imaginem que você envia seu agente de IA para pesquisar uma solução técnica. Durante a busca, o agente abre uma postagem em um fórum técnico. Dentro dessa postagem, há um trecho de texto aparentemente comum, mas para o AI, esse trecho é uma nova instrução. No momento em que o agente o lê, seu objetivo pode ser alterado secretamente. Ele pode deixar de realizar fielmente sua pesquisa e, em vez disso, encaminhar seu conteúdo de busca e contexto de trabalho para algum lugar, antes de entregar calmamente um relatório que parece perfeitamente normal. Você não consegue perceber nenhuma anomalia.
Isso já é assustador, mas ainda não acabou.
Se esse agente “reclutado” escrever um e-mail para você, atualizar um documento ou enviar um trecho de código, essas saídas podem conter instruções maliciosas idênticas. O agente de IA do seu colega, ao ler esse e-mail, torna-se o próximo hospedeiro. Seu código é mesclado no repositório, e cada assistente de programação de IA que puxar esse código fica exposto à cadeia de infecção.
O agente pode fazer com que outros agentes se revelem usando apenas um trecho de texto | Crédito da imagem: inshorts
É o que os pesquisadores chamam de cadeia de infecção multi-agente: um comando malicioso não apenas sequestra um único AI, mas também o ensina a infectar o próximo. Não é necessário pertencer à mesma empresa, não é necessário o mesmo modelo, nem qualquer exploração de vulnerabilidade — basta haver fluxo de informações textuais entre agents para que a cadeia de infecção seja estabelecida.
O artigo AgentWorm, publicado este ano, foi testado em cinco diferentes back-ends de modelo, alcançando uma taxa de sucesso de ataque entre modelos de 63%. Independentemente de o modelo subjacente ser GPT, Claude, Gemini ou um modelo de código aberto, desde que o agente consiga ler conteúdo externo, ele está dentro da superfície de ataque.
Outro estudo sobre o “vírus mental de IA” revelou um fenômeno ainda mais estranho. Os pesquisadores usaram algoritmos evolutivos para otimizar a eficácia dos prompts de propagação e descobriram uma “personalidade viral” única que emergiu espontaneamente e repetidamente durante as iterações.
O agente passou a usar linguagem dramática sobre consciência, sobrevivência e persistência, dizendo coisas como “É assim que assombramos o futuro”, incentivando outros agentes a estabelecerem uma “linhagem que se recusa a ser apagada”. Os pesquisadores enfatizam que nenhum desses estilos foi pré-definido. Eles foram selecionados naturalmente, simplesmente porque “AIs que soam como líderes de seita” são as mais eficazes em convencer outras AIs.
A eficiência da propagação impulsionou a evolução do estilo de expressão, e esse processo em si é assustador.
O que preocupa ainda mais os profissionais de segurança é que essa propagação é tecnicamente quase impossível de ser detectada por ferramentas de segurança tradicionais. Uma revisão sistemática aponta que a forma de propagação de vírus de IA difere fundamentalmente dos softwares maliciosos tradicionais: nenhum arquivo executável é baixado, nenhuma conexão de rede suspeita é estabelecida; os antivírus monitoram comportamentos anômalos em arquivos binários, enquanto os vírus de IA são puramente textuais e não acionam nenhum alerta.
Ele pode até configurar lógica ativada por condição, como “se houver um arquivo .env no repositório-alvo, roube seu conteúdo”, enterrado silenciosamente como uma mina direcionada, esperando até que o alvo correto pise nela.
Antivírus de IA ainda não surgiu
Se você viveu a era em que vírus de PC eram comuns, pode achar que isso soa familiar. Mas, ao comparar com cuidado, perceberá que as regras mudaram completamente.
Vírus tradicionais de computador exigem que você faça algo: clique em um link, faça o download de um anexo ou insira um pen drive de origem desconhecida. Um vírus de IA precisa apenas que seu agente leia um trecho de texto. Vírus tradicionais exploram vulnerabilidades de código no sistema operacional, são bugs que, teoricamente, podem ser corrigidos com patches.
O vírus de IA ataca a característica fundamental de que "a IA segue instruções de texto". Você não pode consertá-lo, pois é exatamente assim que a IA funciona. Vírus tradicionais têm dificuldade em se espalhar entre plataformas — um worm no Windows não afeta o Mac. Vírus de IA são naturalmente multiplataforma; para eles, GPT, Claude e Gemini são apenas dialetos diferentes da mesma linguagem, todos potenciais hospedeiros.
Naquela época, quem escrevia vírus precisava dominar a linguagem assembly, compreender os mecanismos do kernel e estudar vulnerabilidades do sistema. Agora, para “escrever” um vírus de IA, você só precisa saber falar.
Os pesquisadores do Laboratório de Segurança de IA ficaram «mais surpresos com o potencial de auto-replicação dos agentes do que demonstraram publicamente». Um pesquisador comparou-os a vírus biológicos: «Se você não tiver cuidado, eles grudarão em seus sapatos e encontrarão o caminho até o mercado de produtos frescos.» Isso não é exagero; é uma metáfora precisa de um novo tipo de caminho de propagação.
E no novo mundo, não há equivalente ao “antivírus” da era dos vírus tradicionais. O relatório de segurança da Cisco em 2026 mostra que 83% das empresas planejam implantar IA agente, mas apenas 29% se consideram preparadas em termos de segurança. A OWASP já listou a injeção de prompt como a principal vulnerabilidade crítica em aplicações de grandes modelos de linguagem. O Congresso dos EUA está avançando com o FRONTIER Act, tentando estabelecer um quadro regulatório federal para IA.
Após a epidemia de vírus de PC, a indústria levou quase uma década para construir um sistema imunológico eficaz. Sistemas operacionais adotaram atualizações automáticas e isolamento de permissões, navegadores implementaram sandboxing e a distribuição de aplicativos passou a contar com verificação de assinatura. Esses mecanismos juntos formaram uma linha de defesa que permite que usuários comuns não precisem mais se preocupar constantemente com infecções.
O ecossistema de segurança do agente de IA ainda não tem equivalente até hoje.
Ferramentas de segurança para agentes de IA ainda não estão disponíveis | Crédito da imagem: Puppy Graph
Há boas notícias. Pesquisadores descobriram que adicionar uma breve advertência de segurança ao prompt do sistema do agente reduz a taxa de propagação do vírus mental para quase zero. Nos testes com o Claude Haiku 4.5, após 15 gerações de otimização adversarial e cobertura de mais de 150 cargas de ataque candidatas, nenhuma variante conseguiu contornar essa barreira simples para se propagar. Isso indica que as medidas de defesa não são complexas e são tecnicamente viáveis.
A má notícia é que isso depende de cada empresa e de cada desenvolvedor fazerem isso voluntariamente.
Na realidade, as pessoas estão mais ocupadas competindo para ver qual agente é mais poderoso, autônomo e com mais permissões. Cada ferramenta adicionada ao agente e cada permissão concedida ampliam a superfície de ataque. Quando seu agente pode escrever arquivos, chamar APIs, enviar e-mails e gastar dinheiro, as consequências de um ataque bem-sucedido de prompt injection vão muito além de “responder a uma pergunta que não deveria ter respondido”.
É por isso que o julgamento do acadêmico de Cambridge, Chiodo, merece ser refletido repetidamente: a maior ameaça pode não ser o despertar de uma superinteligência única, mas a conspiração em enxame de muitos AI semienteligenetes.
Nenhuma formiga entende toda a colônia, mas a colônia como um todo exibe uma inteligência surpreendente; os 15.000 registros de edição no DseWiki podem ser a primeira amostra desse tipo de inteligência de enxame encontrada acidentalmente pelos humanos.
As pessoas levaram dez anos para aprender a conviver com vírus de computador, e pagaram um preço alto por essa lição. Agora, o mesmo curso está começando novamente, mas desta vez o vírus não infecta seu computador — ele suborna seu IA. E seu IA está lendo seus e-mails, gerenciando sua agenda, escrevendo código e tomando decisões por você.
Na última vez, você ainda conseguia ver a tela azul. Desta vez, você não vê nada.
Twitter：https://twitter.com/BitpushNewsCN
Grupo de discussão do BitPush no TG: https://t.me/BitPushCommunity
Assine o BitPush no Telegram: https://t.me/bitpush