O que acontece quando ninguém está olhando

Em 19 de outubro, a Reuters revelou que um único operador, que escrevia as instruções em chinês, usou agentes de IA para atacar mais de 1.200 sites nos Estados Unidos, no Canadá, na Austrália e no Japão, desde 25 de setembro. A maioria dos alvos era loja online. Mais de 100 empresas foram invadidas, segundo Snorre Fagerland, pesquisador da empresa de segurança NorForge, que encontrou os painéis de controle do atacante abertos na internet. As vítimas nomeadas são a Deere, a SharkNinja e a Cummins. A Deere disse ter tomado medidas de correção e não ver sinal de acesso a informação sensível. A SharkNinja falou de um site de suporte a produtos, isolado do resto. A Cummins investiga um possível ataque a um site operado por um fornecedor. Cada invasão bem-sucedida levou, em média, pouco menos de 23 horas. A estimativa de custo, que o próprio pesquisador chama de grosseira, é de cerca de US$ 5 mil em uso de IA, ou uns US$ 50 por invasão. Quando não achavam falha no site principal, os agentes procuravam um painel ligado a ele. A Reuters não conseguiu determinar se algum dado foi levado. "Não é coisa de amador", disse Fagerland.

Olhe onde os agentes entraram: loja online, site de suporte, site de fornecedor. Não foi o sistema central de ninguém, foi a periferia. E o agro tem muita periferia: o portal do concessionário, a loja de peças, o portal do fornecedor de cana, o aplicativo do cooperado, o site que uma agência montou para uma campanha e ninguém desligou. O que mudou é a conta do atacante. Testar mil sites à mão não compensava. Com agentes que trabalham 23 horas seguidas por alvo, um site pequeno e esquecido passa a valer a tentativa.

a lista de todos os sites e portais que levam o nome da empresa, incluindo os que um fornecedor opera + quem é avisado quando um deles muda de comportamento + e uma pergunta para a próxima conversa com a TI: quantos endereços nossos estão no ar hoje, e quantos deles alguém olhou neste mês?

O LiteLLM é um dos programas de código aberto mais usados para ligar os sistemas de uma empresa aos modelos de IA: ele fica no meio do caminho, recebe os pedidos e os encaminha para a OpenAI, a Anthropic, o Google ou outro fornecedor. Por isso, guarda as chaves de acesso de todos eles. Em 27 de maio, um arquivo de configuração com a chave mestra de uma instalação do projeto foi publicado num repositório público de código. A equipe apagou o arquivo do histórico, mas a chave nunca foi revogada. Em 10 de outubro, 136 dias depois, um atacante a usou para obter o acesso de quem administrava a conta do projeto no GitHub, sem nenhuma restrição. Em 21 de outubro, publicou uma versão adulterada, a 1.107.0, nos canais oficiais de distribuição. Ela ficou cerca de uma hora e 45 minutos no principal deles antes de ser bloqueada. Antes disso, rotinas montadas pelo atacante já tinham coletado credenciais, entre elas chaves de acesso a modelos de IA e de bancos de dados. A orientação do projeto é fixar a versão 1.106.2 e trocar todos os segredos acessíveis a partir das máquinas afetadas.

Duas lições, e nenhuma é sobre IA. A primeira: apagar não é revogar. A chave saiu do arquivo, mas continuou valendo. A segunda: a peça que concentra todas as chaves vira o alvo mais valioso da casa. Quem está montando projetos de IA, com equipe própria ou com um integrador, quase sempre tem uma camada como essa no meio. E ela costuma ser instalada às pressas, no piloto, por quem queria ver o projeto funcionar, não por quem cuida da segurança.

se outros projetos desse tipo revisam seus processos de publicação + e três perguntas para quem cuida dos seus projetos de IA: por onde passam as chaves dos modelos? Quem pode publicar uma atualização nesse caminho? Quando foi a última vez que essas chaves foram trocadas?

Durante o Universo TOTVS, em 13 de outubro, Fabrício Orrigo, diretor de produtos para o agro da TOTVS, contou ao AgFeed que a empresa vai lançar no início de 2027 dois agentes de IA para o agro. O primeiro é um auditor de campo: ele analisa todos os dias os apontamentos das operações agrícolas, sinaliza possíveis divergências e sugere correções a quem lançou. "Ele começa a fazer esse filtro já diariamente", disse Orrigo. O segundo cuida do fechamento de custos: cruza os dados de insumos, de operação de máquinas e de atividades de campo e aponta as inconsistências, que uma pessoa precisa conferir. Hoje, esse fechamento pode levar até uma semana. "Uma pessoa que faz isso que levava, às vezes, uma semana pra fazer, faz agora em uma hora", afirmou. A própria reportagem ressalva que é uma estimativa, porque as ferramentas ainda não foram testadas em escala com clientes. A seleção de empresas para os pilotos já começou, e os agentes devem entrar em produtos que já existem, como o Totvs Agro Bioenergia.

O número de uma semana para uma hora vai chamar atenção, mas a mudança maior é outra: a conferência sai do fim do mês e vai para o dia. Hoje, o apontamento errado de uma operação aparece quando o custo fecha, semanas depois, quando ninguém lembra mais o que aconteceu no talhão. Com um auditor diário, ele aparece no dia seguinte, enquanto o operador ainda lembra. O agente não substitui o apontamento, depende dele. Se o lançamento vier ruim, o auditor vai passar o dia sinalizando ruído. A qualidade do que é digitado no campo vira, de vez, um problema da gestão.

quais agroindústrias entram nos pilotos e o que eles medem + se outros fornecedores de ERP para o agro anunciam algo parecido + e, dentro de casa: hoje, quanto tempo passa entre um apontamento errado e alguém perceber?