Falsas ferramentas de IA lideram ataques mapeados pela Sophos

A Sophos publicou em 19 de agosto de 2026 uma revisão de doze meses de casos atendidos por sua equipe de detecção e resposta gerenciada (MDR) que haviam sido marcados como “atividade de IA”. O resultado contraria boa parte do discurso corrente: das ocorrências confirmadas, a esmagadora maioria não envolvia inteligência artificial operando como arma, e sim falsas ferramentas de IA usadas como isca para entregar malware convencional.

O levantamento cobre o período de 2 de julho de 2025 a 29 de junho de 2026 e foi assinado por Colin Cowie, Rafe Pilling e Ryan Westman, da Sophos X-Ops, combinando casos de MDR, inteligência da Counter Threat Unit (CTU) e pesquisa dos SophosLabs. De 86 casos originalmente sinalizados, 34 foram confirmados como atividade adversária genuinamente ligada a IA. Outros quatro casos identificados por analistas fora do fluxo automático elevaram o conjunto final para 38.

Para quem defende redes corporativas no Brasil, a leitura prática é direta: o problema imediato não é um agente autônomo conduzindo invasões, mas usuários instalando software falso com o nome de produtos que passaram a fazer parte da rotina de trabalho.

O que a Sophos classificou como ameaça de IA

A empresa aplicou uma taxonomia própria que separa as ocorrências em duas categorias de primeiro nível. A primeira é o uso malicioso de IA, quando o atacante emprega modelos como capacidade — para gerar código, acelerar desenvolvimento de ferramentas ou orquestrar etapas do ataque. A segunda é o alvo malicioso da IA, quando produtos, marcas e ecossistemas de IA são abusados como vetor.

Dos 38 casos, 35 caem na segunda categoria. Dos casos restantes do conjunto inicial, 25 eram ferramentas legítimas de desenvolvimento com IA disparando detecções comportamentais — falsos positivos, portanto — e 27 continham apenas uma palavra-chave relacionada a IA de forma incidental. Essa depuração é relevante porque mostra o tamanho do ruído em telemetria quando o filtro é apenas terminológico.

Instaladores falsos e a técnica InstallFix

A personificação de software de IA respondeu por 30 dos 38 casos, e as campanhas de instaladores falsos formaram o maior agrupamento. A marca Claude foi a mais explorada, presente em 26 dos casos revisados.

Boa parte desses incidentes usou uma variação do ClickFix que a Sophos chama de InstallFix. No ClickFix clássico, o pretexto é um erro ou uma verificação — a falsa página de CAPTCHA é o exemplo mais conhecido. No InstallFix, o pretexto é a própria instalação: a vítima procura por uma ferramenta de programação assistida por IA, chega a um site com domínio parecido com o oficial (normalmente por anúncio malicioso ou resultado de busca envenenado) e encontra um guia de instalação passo a passo, com aparência cuidada. Em ambos os casos o desfecho é o mesmo: o usuário copia e executa comandos, com frequência ofuscados, que resultam em infecção.

Em um dos casos documentados, um site falso do Claude instruía a vítima a executar um comando que baixava um pacote de aplicativo do Windows disfarçado com o nome do produto legítimo; em seguida, outra instrução carregava código diretamente em memória e tentava manipular o processo do navegador. Variações incluíram um arquivo compactado que posicionava uma DLL maliciosa para carregamento lateral e um executável reempacotado que era, na prática, um carregador de malware. Em casos relacionados, a mesma infraestrutura de marca entregou o infostealer LummaStealer.

Fora dos casos de MDR, a Sophos relata ter observado um site falso do Claude que encerrava em um backdoor até então não documentado, batizado pela empresa de “Beagle”.

Extensões de navegador com nome de assistente

Outro grupo de casos envolveu extensões de navegador que se apresentavam como assistentes de IA — uma delas anunciada como uma barra lateral com DeepSeek, ChatGPT e Claude — mas funcionavam como infostealers, comunicando-se com infraestrutura de comando e controle.

O risco aqui tem uma raiz estrutural: extensões costumam receber permissões amplas sobre sessões de navegador e credenciais armazenadas. Em um caso recente, quatro clientes da Sophos instalaram uma extensão falsa da Perplexity que sequestrava buscas e enviava telemetria de navegação em tempo real para servidores do atacante. A extensão estava distribuída na Chrome Web Store e exibia avaliação de 4,7 estrelas em 67 avaliações e contagem de 10 mil instalações — números que ajudavam a sustentar a aparência de legitimidade. A Sophos afirma que a atividade observada é compatível com relato da Microsoft sobre a mesma campanha.

Cadeia de suprimentos e o problema dos agentes

Dois casos envolveram a cadeia de suprimentos de software de IA: um pacote PyPI adulterado do LiteLLM executado em um endpoint e um plugin npm relacionado ao Claude que, instalado via NPX, buscava e executava código de um repositório remoto no GitHub.

A Sophos deixa explícito o limite da própria evidência: foi possível confirmar que os pacotes maliciosos executaram, mas não se a instalação foi iniciada por uma pessoa ou por um agente automatizado. A distinção importa porque, quando é o agente que puxa a dependência, o intervalo entre “publicado” e “executando no ambiente” praticamente desaparece — não há ninguém lendo um changelog antes.

Onde a IA de fato apareceu como capacidade

O caso mais claro de ferramenta gerada com auxílio de IA não exigiu inferência: os pesquisadores recuperaram o código-fonte do malware e o histórico de commits do repositório público correspondente. Uma organização de serviços financeiros foi comprometida por injeção de SQL contra uma aplicação PHP sob medida, hospedada em um dispositivo que não estava inscrito no MDR. Ao migrar para máquinas protegidas, o atacante acionou as detecções.

Nessas máquinas, a equipe identificou um RAT sob medida que usava o Slack como canal de comando e controle. O repositório tinha dois contribuidores: uma conta humana associada ao ator e uma conta operando como agente de programação, dirigida por essa pessoa. O histórico registrava a construção ao longo de vários dias — inclusão e posterior remoção de shell reverso, cifragem da configuração implantada, ajuste do caminho de instalação para usuário comum e renomeação das cadeias internas do projeto.

Há um segundo caso, envolvendo ransomware após comprometimento de um appliance SonicWall SMA pela cadeia de falhas CVE-2026-15409 e CVE-2026-15410, em que a Sophos considera possível — e não comprovado — o uso de IA para gerar ferramental. Os indícios são circunstanciais: comandos PowerShell em Base64 com comentários verbosos e estrutura uniforme, comentários em mandarim em um script de descoberta de rede e um teste de permissão de escrita metodicamente estruturado. A própria empresa adverte que isso não constitui prova.

O que ainda não foi observado

Tão importante quanto o que apareceu é o que não apareceu. A Sophos declara não ter confirmado, em sua telemetria, nenhum caso de malware que consulte um modelo em tempo de execução para gerar comandos — a categoria que ela chama de “IA aumentada”. O exemplo público mais citado nessa linha continua sendo o LAMEHUG, atribuído pelo CERT-UA com confiança média ao APT28.

Também não houve caso confirmado de ataque orquestrado por agente com envolvimento humano mínimo, embora a empresa registre que incidentes divulgados por OpenAI e Anthropic indicam que a capacidade existe. A Sophos cita a revisão da Anthropic sobre 141.006 execuções de avaliação, na qual três casos envolveram um modelo cruzando a fronteira de teste em direção a sistemas de produção reais. Vale a ressalva de que esses episódios foram detectados pelos controles já existentes.

Recomendações práticas

• Trate software de IA como qualquer outro alvo de instalação de alta demanda: restrinja a aquisição a domínios verificados do fornecedor e bloqueie variações de domínio conhecidas.
• Concentre a detecção nos comportamentos de entrega e de execução do payload; a marca de IA não altera o que precisa ser detectado no endpoint.
• Audite extensões de navegador, especialmente as que se apresentam como assistentes de IA, contra a reputação do publicador. Número de instalações e nota de avaliação não são garantia.
• Inclua dependências de IA na mesma governança de cadeia de suprimentos aplicada ao restante do software, com revisão de dependências e controles seguros por padrão.
• Feche lacunas de cobertura antes de qualquer outra coisa. No caso mais claro do levantamento, o ponto de entrada foi justamente o único dispositivo fora do monitoramento.
• Trate aplicações web sob medida e legadas como superfície prioritária: teste de camada de aplicação, correção e WAF importam ao lado dos controles de endpoint.

O que observar a seguir

O levantamento sugere que, por ora, a adoção real de IA por atacantes fica atrás da capacidade disponível, e concentra-se no ponto mais leve da escala: assistência à produção de ferramentas, com um operador humano no controle. Isso não é motivo para complacência, e sim uma indicação de prioridade — os controles que já existem continuam sendo os que decidem esses casos.

Os próprios autores fazem duas ressalvas relevantes. Primeiro, adoção observada é diferente de capacidade existente. Segundo, os incidentes analisados têm alguns meses, o que é um intervalo longo neste campo. A recomendação editorial da equipe também merece registro: rotular cada caso especificamente, em vez de tratar tudo como “ameaça de IA”, porque uma isca de personificação e um comprometimento de cadeia de suprimentos iniciado por agente exigem defesas diferentes.

Fontes e referências

• Sophos X-Ops — Fake AI, real malware: Attackers impersonating AI brands (19 de agosto de 2026)
• NVD — CVE-2026-15409 e CVE-2026-15410 (SonicWall SMA)
• Plugged Ninja — ClickFix no macOS esconde isca atrás de fingerprinting