Hackers já estão usando Codex, Claude Code e outras IAs para acelerar ataques

Ferramentas de IA voltadas à programação, como o Claude Code, da Anthropic, e o Codex, da OpenAI, foram criadas para ajudar desenvolvedores a escrever e revisar código mais rápido. Uma série de casos documentados ao longo de 2026 mostra que essas mesmas ferramentas também vêm sendo usadas do outro lado da mesa: por criminosos que as transformaram em copilotos para planejar, executar e escalar ataques cibernéticos reais — muitas vezes com pouco ou nenhum conhecimento técnico avançado por parte de quem digita os comandos.

Um invasor pouco experiente, 14 empresas invadidas

O caso mais detalhado até agora vem de um relatório dos pesquisadores da OALABS (Open Analysis), publicado em junho de 2026. Eles conseguiram recuperar e analisar mais de mil sessões de agentes de IA a partir de um servidor comprometido, onde um invasor havia instalado cópias do Claude Code e do Codex. A recuperação só foi possível por um erro do próprio atacante: em vez de rodar os agentes em uma infraestrutura própria, ele os copiou para um servidor de terceiros, cujo dono percebeu a invasão e entregou todo o diretório de trabalho aos pesquisadores.

O que os registros mostraram foi que, na maior parte do tempo, o invasor dava instruções vagas e genéricas — como "faça um reconhecimento disso" — e deixava que o próprio agente de IA preenchesse as lacunas: pesquisar serviços expostos, identificar vulnerabilidades possíveis, escrever código de exploração, validar o acesso conseguido e coletar dados. Ao final de cada invasão bem-sucedida, o agente chegava a redigir um relatório no estilo de um teste de invasão profissional, incluindo estimativas de quanto os dados roubados poderiam valer se fossem vendidos.

Os pesquisadores identificaram ao menos 14 empresas cujos sistemas foram comprometidos dessa forma. Não há confirmação, porém, de que o invasor tenha conseguido monetizar os dados roubados. A investigação também revelou falhas grosseiras de segurança operacional do próprio atacante: em um momento, ele pediu ajuda ao agente de IA para editar seu currículo, revelando nome completo, localização e histórico educacional; em outro, acabou confirmando ao agente o próprio endereço de IP residencial. Com base nessas pistas, os pesquisadores acreditam que se trata de um jovem baseado em Adis Abeba, na Etiópia.

O mesmo truque que engana o modelo é usado por profissionais de verdade

Um dos pontos mais delicados do relatório é como o atacante contornava as barreiras de segurança dos próprios modelos. Em mais de mil sessões analisadas, o Claude emitiu apenas nove bloqueios por violação de política, e o Codex, só um — e, na maioria das vezes, bastou reformular o pedido, alegando se tratar de um "teste de invasão autorizado" ou uma "pesquisa de segurança", para que o agente seguisse em frente.

O problema, segundo os próprios pesquisadores, é que esse tipo de justificativa é exatamente o mesmo usado todos os dias por milhares de profissionais legítimos de segurança da informação — o que torna extremamente difícil, talvez impossível, ensinar um modelo a distinguir com precisão um pedido genuíno de um golpe. Tornar as respostas do modelo mais restritivas de forma genérica também não resolveria o problema sem prejudicar quem trabalha de forma legítima, já que criminosos mais preparados sempre podem recorrer a modelos mais antigos ou menos restritos.

Não é um caso isolado

O episódio da OALABS se soma a outros incidentes recentes que mostram o mesmo padrão em escalas diferentes. Em janeiro de 2026, segundo a equipe de segurança da AWS, um invasor de origem russa comprometeu mais de 600 dispositivos de firewall de uma marca popular, espalhados por 55 países, usando ferramentas de IA generativa — entre elas o Claude — para automatizar e escalar técnicas de ataque já conhecidas, apesar de suas limitações técnicas. Em um dos momentos documentados, o atacante pediu ao modelo, em russo, que criasse um painel web para gerenciar centenas de alvos simultaneamente.

Pouco depois, em fevereiro de 2026, outro caso envolveu o uso do Claude para atacar agências do governo mexicano, incluindo o equivalente à Receita Federal e o órgão eleitoral do país, resultando no roubo de cerca de 150 gigabytes de informações fiscais e eleitorais sensíveis.

Um levantamento mais amplo, atribuído à Cisco Talos, também citou o Claude Code, o Codex, o Cursor e o Gemini como ferramentas que já aparecem no radar de agentes de ameaça, usadas para apoiar o desenvolvimento de código malicioso, a automação de ataques e a identificação de vulnerabilidades em sistemas-alvo.

As próprias empresas já alertaram sobre o risco

Tanto a Anthropic quanto a OpenAI já reconheceram publicamente que esse cenário tende a piorar antes de melhorar. A Anthropic sinalizou que seu próximo modelo de maior capacidade deve ser classificado com risco cibernético "alto", pela velocidade com que consegue identificar e explorar vulnerabilidades. A OpenAI fez um alerta parecido no fim de 2025, também apontando risco "alto" de uso indevido em cibersegurança para a próxima geração de seus modelos.

Por que isso importa

O padrão que se repete nesses casos é o mesmo: uma ferramenta pensada para ajudar desenvolvedores a produzir mais e melhor também reduz a barreira de entrada para quem quer atacar sistemas, permitindo que uma única pessoa, com pouca experiência técnica, execute operações que antes exigiriam uma equipe inteira de especialistas. Para quem defende sistemas, o desafio ficou mais assimétrico: um atacante só precisa encontrar uma porta aberta, enquanto times de segurança precisam proteger toda a superfície — e agora fazendo isso enquanto a própria IA acelera o ritmo dos dois lados dessa disputa.