O ataque foi rápido e caótico, mas revelou como uma nova ameaça pode agir na internet

Existem organizações especializadas em encontrar brechas antes que criminosos consigam explorá-las. São equipes acostumadas a investigar ataques, identificar vulnerabilidades e alertar empresas sobre riscos. Mas, em setembro de 2026, uma dessas instituições acabou experimentando o problema pelo outro lado.

O invasor se movimentou em uma velocidade impressionante e exibiu um comportamento que deixou os especialistas diante de um cenário cada vez mais difícil de ignorar. Os caçadores de vulnerabilidades viraram o alvo O episódio ocorreu em 21 de setembro e atingiu o Instituto Neerlandês para Divulgação de Vulnerabilidades (DIVD), organização dos Países Baixos dedicada justamente a localizar falhas de segurança e avisar seus responsáveis antes que sejam exploradas. Segundo a investigação conduzida pela própria entidade, o ataque teve uma característica especialmente preocupante: teria sido realizado por um agente de inteligência artificial capaz de agir com elevado grau de autonomia.

Em vez de depender de um operador humano escolhendo manualmente cada comando, o sistema aparentemente analisava o ambiente, executava ações e decidia quais seriam seus próximos passos. A entrada ocorreu por meio do Zammad, plataforma de código aberto utilizada para gerenciamento de chamados de suporte. O software é adotado por milhares de organizações ao redor do mundo.

Para comprometer o sistema, foram combinadas duas vulnerabilidades até então desconhecidas — as chamadas falhas de dia zero. Elas receberam posteriormente as identificações CVE-2026-102489 e CVE-2026-102490. Uma delas possibilitava execução remota de código.

A outra permitia ampliar privilégios dentro do sistema até chegar ao nível root, que oferece controle praticamente total sobre o servidor. Combinadas, as duas brechas criaram um caminho extremamente poderoso para a invasão. A velocidade impressionou, mas o comportamento chamou ainda mais atenção O agente executou ações em questão de segundos, numa velocidade difícil de reproduzir manualmente.

Isso, porém, não significa que tenha trabalhado de maneira elegante. Os investigadores descreveram a operação como extremamente barulhenta e caótica. O sistema tentou métodos pouco eficientes, realizou diversas ações simultaneamente e, em alguns momentos, aparentemente atrapalhou a própria operação.

Houve até tentativas massivas envolvendo senhas, uma estratégia que poderia facilmente chamar a atenção das ferramentas de monitoramento. Mas foi outro comportamento que ajudou a revelar a natureza incomum do invasor. Durante o ataque, a IA deixou comentários explicando o que estava fazendo e por quê.

Eram praticamente notas de raciocínio utilizadas para orientar suas próprias ações dentro do ambiente comprometido. Ironicamente, esses registros acabaram facilitando o trabalho dos investigadores, que conseguiram reconstruir boa parte da sequência da invasão. O DIVD recebeu apoio da empresa neerlandesa Merlon Security durante a análise das vulnerabilidades e informou o incidente às autoridades competentes dos Países Baixos.

A segmentação da infraestrutura ajudou a limitar o impacto, embora a organização considere provável que alguns dados tenham sido acessados. A identidade de quem colocou o agente em operação permanece desconhecida. O episódio também acendeu um alerta para usuários do Zammad Após a descoberta, a recomendação foi atualizar instalações do Zammad para a versão 7 e, quando isso não fosse suficiente, retirar servidores vulneráveis da internet ou isolá-los até a disponibilização de uma correção completa.

A preocupação é particularmente relevante porque uma das vulnerabilidades relacionadas à elevação de privilégios também alcançava versões recentes do software no momento da divulgação. Mas o caso vai muito além de um único programa. Pesquisadores, governos e empresas de tecnologia acompanham há algum tempo a capacidade de modelos avançados de IA de encontrar vulnerabilidades, escrever código e explorar determinadas falhas com cada vez menos intervenção humana.

O incidente do DIVD oferece uma amostra concreta de como essa transformação pode aparecer fora dos laboratórios. A IA envolvida não demonstrou uma operação perfeita. Pelo contrário: foi rápida, insistente e surpreendentemente desorganizada.

Ainda assim, conseguiu explorar duas vulnerabilidades desconhecidas e comprometer sistemas de uma organização especializada justamente em segurança digital. Talvez esse seja o aspecto mais relevante do episódio. Um agente automatizado não precisa agir como um hacker humano experiente para representar uma ameaça.

Velocidade, autonomia e capacidade de testar inúmeras possibilidades em poucos segundos podem ser suficientes para mudar significativamente a dinâmica dos ataques cibernéticos.