Cibercriminosos estão usando agentes autônomos de inteligência artificial para acelerar ataques contra ambientes de nuvem e roubar credenciais em larga escala. Em um caso investigado pelo Google Threat Intelligence Group, toda a operação foi planejada e executada em menos de seis horas.
Os invasores comprometeram inicialmente a infraestrutura de nuvem de uma organização e utilizaram esses recursos como ponto de partida para a campanha. O uso de endereços legítimos também ajudava o tráfego malicioso a se misturar às atividades normais.
Um chatbot de programação, combinado com instruções previamente preparadas, coordenava vários agentes responsáveis por pesquisar vulnerabilidades, executar varreduras e coletar credenciais. O framework conseguia solucionar erros durante a operação e alternar automaticamente os endereços IP utilizados nos ataques. Esse nível de automação reduziu significativamente a necessidade de decisões constantes por parte dos operadores.
A campanha comprometeu milhares de credenciais de terceiros. Em outra infraestrutura exposta, pesquisadores encontraram um sistema chamado Recon gerenciando mais de 23.800 segredos roubados, incluindo chaves de API ligadas a serviços de nuvem e IA.
O Google também observou ataques contra ambientes de desenvolvimento. O malware DUSTMAKER escondia arquivos em diretórios utilizados por Claude, Cursor e VS Code e manipulava configurações para executar scripts durante atividades rotineiras dos desenvolvedores.
Outras campanhas miraram pipelines CI/CD, tokens do GitHub Actions e pacotes de código aberto. Arquivos maliciosos chegaram a incluir prompt injection para tentar impedir que ferramentas baseadas em modelos de linguagem analisassem corretamente o código.
