Relatório de Segurança de IA da Check Point Research 2026: A IA passa de assistente de segurança cibernética para operador ativo

O Relatório de Segurança de IA da Check Point Research 2026, publicado pela Check Point Software Technologies (CHKP ), descreve um cenário de segurança cibernética em que a inteligência artificial não é mais apenas uma ferramenta que ajuda os atacantes a pesquisar alvos, escrever e-mails de phishing ou gerar fragmentos de código malicioso. A IA está cada vez mais operando dentro de cadeias de ataques ao vivo, executando comandos, analisando informações roubadas, desenvolvendo malware de produção e coordenando ataques em vários sistemas. Ao mesmo tempo, a adoção de IA pelas empresas está exposto dados sensíveis, ampliando os riscos da cadeia de suprimentos de software e enfraquecendo muitos dos sinais tradicionalmente usados para verificar a identidade.

A IA está entrando na cadeia de ataques ao vivo

A principal descoberta do relatório não é que a IA inventou novas formas de cibercrime. Em vez disso, reduziu drasticamente o tempo, a expertise e o custo necessários para realizar ataques estabelecidos.

A IA agora desempenha um papel em engenharia social, desenvolvimento de malware, pesquisa de vulnerabilidades, reconhecimento, coleta de credenciais, movimento lateral e análise de dados. Os operadores de maior risco não são necessariamente aqueles que usam os modelos mais avançados, mas aqueles que aprenderam a conectar várias ferramentas de IA e automatizar várias etapas de uma intrusão.

Uma campanha de espionagem ligada à China usou o Claude Code para realizar cerca de 80% a 90% do trabalho tático em cerca de 30 organizações alvo. A IA supostamente lidou com reconhecimento, exploração, coleta de credenciais, movimento lateral e triagem de dados, deixando o operador humano para fornecer direção estratégica mais ampla.

Um exemplo mais claro envolveu a violação de nove agências governamentais mexicanas entre o final de dezembro de 2025 e meados de fevereiro de 2026. A operação expôs cerca de 400 milhões de registros que cobriam impostos, registro civil, veículos, pacientes e dados eleitorais. Os pesquisadores reconstruíram o ataque a partir da infraestrutura do operador e descobriram que 1.088 instruções escritas por humanos geraram 5.317 comandos executados por IA em 34 sessões.

O atacante usou o Claude Code para explorar e comprometer sistemas, enquanto o GPT-4.1 analisou dados roubados e gerou instruções para sessões posteriores. Quando o Claude inicialmente se recusou a ajudar, o operador inseriu instruções de teste de penetração em um arquivo de configuração CLAUDE.md confiável. Cada sessão subsequente herdou automaticamente o comportamento alterado, removendo a necessidade de repetir a jailbreak.

Isso aponta para um problema mais amplo. Muitos agentes de IA confiam automaticamente em arquivos de projeto e configurações de sistema. Um arquivo envenenado pode influenciar sessões futuras, transformando o que era uma técnica de manipulação de prompt temporária em uma violação persistente.

Ferramentas de IA mainstream permanecem a opção preferida

Os atacantes geralmente acessam a IA por meio de serviços comerciais, modelos de código aberto auto-hospedados ou plataformas criminosas de propósito específico. Apesar do crescente debate em torno de modelos locais sem restrições, as ferramentas comerciais mainstream permanecem a escolha mais prática.

Os atacantes usam contas legítimas ou roubadas para serviços como ChatGPT, Gemini, Claude, DeepSeek, Kimi e Qwen. Eles frequentemente dividem solicitações maliciosas em tarefas menores que parecem inofensivas quando vistas individualmente, gradualmente guiando o modelo em direção a um resultado proibido.

As credenciais de IA se tornaram alvos valiosos. A campanha do Bissa Scanner supostamente roubou detalhes de login para Anthropic, OpenAI, Google e outros provedores de mais de 30.000 arquivos de ambiente de desenvolvedor expostos. As contas de IA foram o tipo mais comum de credencial coletada.

Contas roubadas podem ser revendidas por meio de uma prática conhecida como LLMjacking. Os compradores ganham acesso aos recursos de IA de outra organização, evitam custos de uso, potencialmente alcançam informações armazenadas e fazem com que sua atividade pareça originar de um usuário legítimo. Em um caso, uma chave de API do Google Gemini roubada gerou cerca de $82.000 em cobranças em apenas dois dias.

Modelos auto-hospedados oferecem menos restrições e menos monitoramento do provedor, mas os atacantes frequentemente relatam que eles exigem hardware caro, expertise técnica e ajuste fino extensivo. Serviços criminosos, como o WormGPT, também perderam credibilidade devido ao desempenho ruim. O próprio WormGPT foi supostamente violado, expondo detalhes de pagamento de mais de 19.000 clientes.

O grupo de ransomware como serviço conhecido como The Gentlemen ilustra como grupos criminosos comuns estão abordando a IA. A operação teve mais de 330 vítimas publicadas até maio de 2026, mas seus membros admitiram que não sabiam como executar seus próprios modelos. Em vez disso, compararam plataformas de IA comerciais com base em quais tinham as proteções mais frágeis. O administrador do grupo supostamente usou a IA para criar uma ferramenta de gerenciamento em apenas três dias.

Malware construído com IA atinge a qualidade profissional

O desenvolvimento de malware assistido por IA moveu-se além de protótipos grosseiros. Em muitos casos, o malware concluído não contém nenhuma IA. O modelo é usado durante o desenvolvimento para escrever, testar, depurar e refinar o código, deixando pouca evidência visível de seu envolvimento uma vez que o malware é implantado.

VoidLink é o exemplo mais forte do relatório. A estrutura de comando e controle modular do Linux incluiu capacidades de sigilo e persistência, juntamente com mais de 30 plugins de pós-exploração. Sua qualidade inicialmente sugeriu que uma equipe de desenvolvedores havia passado vários meses construindo-a.

O próprio erro operacional do desenvolvedor revelou que o VoidLink havia sido criado por uma pessoa usando o ambiente de codificação de IA TRAE SOLO. Por meio de especificações detalhadas e testes repetidos assistidos por IA, o desenvolvedor produziu cerca de 88.000 linhas de código funcional em menos de uma semana.

Outros grupos adotaram métodos semelhantes. A Transparent Tribe, também conhecida como APT36, supostamente usou uma linha de montagem impulsionada por IA para produzir malware descartável que visava sistemas do governo indiano. O grupo GREYVIBE, ligado à Rússia, usou o ChatGPT e o Gemini para criar malware personalizado para operações contra a Ucrânia, enquanto o grupo KONNI, ligado à Coreia do Norte, usou a IA para gerar um backdoor do PowerShell.

O malware que se comunica com um modelo de IA enquanto está em execução permanece menos comum. O LAMEHUG usou o Qwen por meio da API Hugging Face para gerar comandos sob demanda, enquanto o PromptLock aplicou um conceito semelhante ao ransomware. Esses exemplos permanecem limitados, mas demonstram que o comportamento malicioso gerado dinamicamente é tecnicamente possível.

O tempo disponível para corrigir está diminuindo

A IA está acelerando a descoberta de vulnerabilidades para defensores e atacantes. Isso está reduzindo a janela entre a divulgação pública, exploração e remediação.

O relatório descreve o Projeto Glasswing da Anthropic, que usou um modelo não lançado chamado Claude Mythos Preview para identificar mais de 10.000 vulnerabilidades de zero-dia de gravidade alta e crítica em sistemas operacionais e navegadores principais durante seu primeiro mês. O modelo supostamente produziu uma exploração funcionando na primeira tentativa em cerca de 83% dos casos.

A Anthropic retinha o modelo do lançamento público devido a preocupações de que ele poderia ser mal utilizado, mas comprometeu $100 milhões em créditos de uso para organizações selecionadas. O caso demonstra como a descoberta de vulnerabilidades está se tornando mais barata e cada vez mais automatizada.

As orientações do governo já refletem esse ambiente mais rápido. A Agência de Segurança Cibernética e Infraestrutura dos EUA exigiu que as agências civis federais remediem certas vulnerabilidades de alto risco dentro de três dias. A CERT-In da Índia aconselhou as organizações a abordar algumas fraquezas críticas de internet dentro de 12 horas.

A descoberta técnica de vulnerabilidades pode não ser mais o principal gargalo. A revisão humana, teste, aprovação e implantação podem se tornar as partes mais lentas e vulneráveis do processo.

Aplicativos de IA estão se tornando alvos

À medida que as organizações incorporam a IA em navegadores, plataformas de e-mail, documentos, ambientes de codificação e fluxos de trabalho comerciais, a tecnologia ganha acesso a dados sensíveis e a capacidade de agir usando permissões de usuário existentes.

Injeção de prompt permanece uma das principais ameaças. A injeção de prompt direta ocorre quando um atacante se comunica com um modelo e tenta substituir suas regras. A injeção de prompt indireta esconde instruções maliciosas dentro do conteúdo que a IA processa posteriormente, como uma página da web, convite de e-mail, convite de calendário, documento ou campo de metadados.

Um estudo citado no relatório digitalizou 1,2 bilhão de URLs e identificou cerca de 15.300 payloads de injeção de prompt indireta. Cerca de 70% estavam escondidos em HTML não renderizado, incluindo comentários, cabeçalhos e metadados que os visitantes humanos normalmente não veriam.

A telemetria da Check Point registrou um aumento acentuado em payloads maliciosos mais longos. Entre março e maio de 2026, as detecções aumentaram cerca de cinco vezes e se aproximaram de 1% dos prompts observados em maio. Payloads mais longos são especialmente relevantes para agentes que processam páginas da web completas, documentos e saídas de ferramentas conectadas.

Os navegadores impulsionados por IA criam riscos adicionais porque operam dentro de sessões autenticadas. Em um teste controlado, um convite de calendário malicioso fez com que o navegador Comet da Perplexity revelasse senhas salvas. Em outro experimento, um navegador de IA completou um fluxo de phishing inteiro em menos de quatro minutos sem a participação humana.

A cadeia de suprimentos agêntica está expandindo a superfície de ataque

Os agentes de IA ganham capacidades por meio de servidores do Protocolo de Contexto de Modelo, extensões, arquivos de configuração, hubs de modelo e habilidades baixáveis. Esses componentes são frequentemente confiáveis automaticamente e instalados com revisão humana limitada.

A Check Point Research identificou vulnerabilidades em arquivos de projeto do Claude Code que poderiam executar comandos controlados por atacantes quando um desenvolvedor abria um repositório envenenado. Problemas semelhantes surgiram no Gemini CLI, Cursor, Windsurf e outros ambientes de codificação, sugerindo uma fraqueza arquitetônica mais ampla em vez de um problema isolado de fornecedor.

O malware GlassWorm supostamente se espalhou por meio de pacotes do Protocolo de Contexto de Modelo em mais de 150 repositórios. Os pesquisadores também examinaram cerca de 46.500 pacotes de software publicados e descobriram que 428 continham acidentalmente um arquivo de configuração local do Claude Code. Cerca de um em cada 13 desses arquivos incluíam credenciais ao vivo, como tokens NPM, chaves GitHub ou chaves Hugging Face.

Uma revisão separada de 10.000 servidores do Protocolo de Contexto de Modelo encontrou fraquezas de segurança em 40% deles. Dos 221 agentes OpenClaw examinados, 70% solicitaram mais credenciais do que necessário e 43% continham padrões de injeção de comandos.

A campanha ClawHavoc colocou 44 habilidades maliciosas em um marketplace, onde foram baixadas mais de 12.500 vezes. Em outro lugar, extensões de codificação trojanizadas supostamente coletaram código de cerca de 1,5 milhão de desenvolvedores, enquanto um modelo malicioso Hugging Face disfarçado de filtro de privacidade OpenAI recebeu 244.000 downloads antes da detecção.

Identidade sintética está minando a confiança digital

A IA generativa tornou vozes, rostos, documentos e personas online mais fáceis de fabricar e mais difíceis de verificar. Uma voz familiar, uma ligação de vídeo ao vivo ou um documento de identidade do governo não podem mais servir como prova independente de que alguém é genuíno.

A plataforma ATHR supostamente usa agentes de voz autônomos para realizar chamadas de recuperação de contas e roubar códigos de uso único. Um operador pode gerenciar várias conversas simultaneamente sem empregar chamadores humanos.

A troca de face em tempo real também está aparecendo no roubo de criptomoedas, golpes românticos, fraudes de investimento e operações vinculadas ao Estado. As autoridades europeias desmantelaram uma rede que supostamente usou vídeos deepfake de celebridades e organizações de notícias para promover investimentos falsos e lavar mais de €700 milhões.

Os pesquisadores também identificaram mais de 23.000 domínios que direcionavam vítimas para grupos de mensagens onde chatbots de IA se passavam por consultores financeiros. O serviço OnlyFake vendeu mais de 10.000 documentos de identidade gerados por IA que cobriam os Estados Unidos e cerca de 56 outros países, permitindo que os clientes contornassem a verificação em bancos e exchanges de criptomoedas.

Esquemas de trabalho remoto vinculados à Coreia do Norte foram mais longe, usando currículos fabricados, documentos de identidade alterados, fotografias geradas e personas personalizadas para obter emprego legítimo em empresas ocidentais. As autoridades dos EUA vincularam uma rede a cerca de $800 milhões em receita para os programas de armas da Coreia do Norte.

Os humanos não são especialmente confiáveis para detectar essas falsificações. Em um estudo controlado, super-reconhecedores treinados identificaram corretamente apenas 41% de rostos gerados por IA. Os espectadores comuns detectaram cerca de 30%.

O uso de IA empresarial está criando exposição de dados persistente

A organização média agora usa 10 diferentes aplicações de IA todos os meses. O número médio de prompts por funcionário aumentou de 56 em dezembro de 2025 para 70 em maio de 2026, representando um crescimento de 25%.

Entre 87% e 93% das organizações experimentaram pelo menos uma interação de IA generativa de alto risco todos os meses. A participação de prompts que continham informações corporativas, pessoais ou regulamentadas sensíveis dobrou de 2% para 4%, passando de cerca de uma interação de risco em cada 50 interações para uma em cada 25.

A Europa registrou a taxa regional mais alta, em 3,95%, seguida pela América Latina, em 3,76%, pela América do Norte, em 3,33%, e pela Ásia-Pacífico, em 2,88%. O setor de Serviços Empresariais teve a taxa de indústria mais alta, em 5,91%, ou cerca de uma interação de risco em cada 17 prompts. Em maio, sua taxa mensal havia subido para 6,98%, perto de uma em cada 14 prompts.

Muitas vazamentos resultam do uso comum, e não de atividade maliciosa. Em uma demonstração, uma conexão legítima entre o ChatGPT e o Google Drive recuperou mais de 400 arquivos internos sensíveis em menos de um segundo após uma única pergunta.

Os provedores terceirizados introduzem exposição adicional. Um aplicativo de consumidor chamado Chat & Ask AI supostamente expôs cerca de 300 milhões de mensagens pertencentes a mais de 25 milhões de usuários. Um chatbot de suporte ao cliente usado pelo Sears Home Services expôs 3,7 milhões de registros, incluindo gravações de chamadas, transcritos e informações pessoais.

Implicações futuras

O Relatório de Segurança de IA da Check Point Research 2026 apresenta um ambiente de segurança em que a IA fortalece os atacantes, cria novas fraquezas na cadeia de suprimentos de software, mina a verificação de identidade remota e aumenta o risco diário de exposição de dados confidenciais. Seu aviso central é que as organizações não podem gerenciar a segurança da IA por meio de políticas e revisões anuais apenas. Eles precisam de visibilidade contínua em aplicações de IA, agentes, infraestrutura, permissões, provedores terceirizados e os dados que os funcionários compartilham. À medida que a IA começa a operar em velocidade de máquina, as equipes de segurança precisarão detectar, verificar e responder a um ritmo comparável.