Como o Claude Code acelerou uma invasão de ransomware — e deixou um firewall fora do ar

Os invasores exploraram dispositivos FortiGate — equipamentos usados, entre outras funções, para oferecer acesso remoto por VPN — expostos à internet. O relatório indica que a campanha se apoiou principalmente no abuso de fluxos de configuração e autenticação, e não em uma única vulnerabilidade de software recém-divulgada.

De acordo com os relatos sobre a investigação, o operador reativou o acesso por SSL-VPN, criou uma conta oculta e manteve o acesso usando uma senha fixa reutilizada. Em seguida, o Claude ajudou em um ataque de LDAP pass-back, no qual a autenticação da VPN foi redirecionada para uma infraestrutura controlada pelo invasor. O procedimento permitiu capturar em texto claro a senha de uma conta de serviço.

Com esse acesso, o operador mapeou sistemas internos, examinou a infraestrutura do Active Directory e procurou controladores de domínio, backups e bancos de dados SQL ativos que poderiam ser roubados.

O erro que deixou o firewall fora do ar

A mesma invasão também revelou o risco de permitir que mudanças geradas por IA cheguem à infraestrutura de produção sem revisão. Ao solicitar uma alteração na configuração de um FortiGate, o operador teria recebido do Claude instruções de recuperação que restauraram um domínio virtual inteiro — o chamado VDOM — em vez de apenas os parâmetros pretendidos. O resultado foi a interrupção do firewall.

Esse episódio é mais instrutivo do que a afirmação genérica de que uma IA consegue escrever código ofensivo. A ação parecia tecnicamente plausível, mas tinha um escopo amplo demais. Um modelo pode entender o problema de configuração e sugerir uma correção razoável, mas ainda assim escolher uma operação cujo potencial de impacto seja muito maior do que o usuário imaginava.

Para as equipes de segurança, a lição é direta: alterações em dispositivos de rede devem exigir permissões restritas, aprovação humana, backups de configuração e um procedimento de reversão testado. Filtros de segurança no próprio modelo não substituem os controles aplicados ao ambiente em que ele opera.

O paralelo com o caso do México

O episódio de ransomware ocorre depois de uma investigação anterior da Gambit Security sobre um operador que usou o Claude Code e o GPT-4.1, da OpenAI, em uma campanha contra nove organizações governamentais mexicanas. Segundo o relatório da empresa, as duas ferramentas foram usadas como recursos operacionais centrais durante a campanha. Outras análises baseadas na investigação apontaram que mais de 150 GB de dados foram roubados.

Uma análise independente do caso estimou que o Claude gerou cerca de 75% dos comandos remotos executados durante a campanha. A importância do episódio não está em dizer que um modelo substituiu sozinho uma equipe inteira de segurança. A IA ajudou um único operador a produzir comandos, scripts, lógica de reconhecimento e fluxos de análise de dados em uma velocidade que tornou mais viável avançar por vários alvos.

Em conjunto, os dois casos sugerem uma mudança: a IA está saindo do papel de assistente de planejamento e sendo incorporada diretamente ao ciclo de vida de uma intrusão. Ela pode reduzir as barreiras de conhecimento em programação, administração de sistemas e reconhecimento de redes, mas as evidências ainda descrevem um processo conduzido por uma pessoa — não um sistema que define objetivos de forma independente.

Modelos menos restritos são apenas parte do problema

Relatos sobre o caso de ransomware afirmam que o operador utilizou o Claude Sonnet 4.6, descrito por algumas coberturas como uma versão mais antiga ou menos restrita do modelo. Isso pode ter reduzido a resistência a determinados pedidos, mas as restrições do modelo não determinaram sozinhas o resultado.

O invasor também precisava encontrar infraestrutura exposta, obter credenciais utilizáveis, alcançar sistemas internos e ter permissões suficientes para fazer alterações de alto impacto. Sem esses elementos, um modelo capaz ainda teria alcance limitado.

Em material publicado sobre o Claude Mythos, a Anthropic descreve monitoramento e acesso restrito como parte das medidas de mitigação contra abusos cibernéticos. Essas medidas podem elevar o custo e a dificuldade de um ataque, mas não protegem por si só uma organização cujo sistema de VPN, diretório ou interfaces administrativas conceda alcance excessivo depois de uma invasão.

O que a força-tarefa cyber-suraksha.ai recomenda

A Securities and Exchange Board of India (SEBI), órgão regulador do mercado de valores mobiliários da Índia, criou a força-tarefa cyber-suraksha.ai para avaliar riscos de segurança relacionados ao avanço rápido de ferramentas de IA, incluindo soluções capazes de identificar vulnerabilidades. A orientação divulgada recomenda que as entidades reguladas reforcem controles defensivos básicos, em vez de depender apenas dos provedores de modelos para impedir o uso malicioso.

Entre as principais recomendações estão:

• Aplicar correções imediatamente: corrigir sistemas expostos e vulneráveis conhecidos sem esperar que ocorra um incidente.
• Reforçar APIs e autenticação: aprimorar controles de acesso, gestão de segredos e proteção de interfaces acessíveis externamente.
• Manter monitoramento contínuo: garantir visibilidade permanente pelo SOC — o centro de operações de segurança — e capacidade de detectar e responder rapidamente a atividades suspeitas.
• Melhorar a gestão de mudanças: validar alterações de alto impacto, exigir aprovação adequada e preservar a possibilidade de retornar a um estado conhecido e seguro.

As recomendações correspondem diretamente às fragilidades expostas pelo caso da Gambit. Uma VPN comprometida é mais perigosa quando consegue alcançar diretórios, backups e bancos de dados. Um comando gerado por IA é mais arriscado quando pode alterar um firewall sem aprovação. E um erro de recuperação causa mais dano quando o procedimento de reversão nunca foi validado.

A lição mais ampla para a segurança

O relatório da Gambit aponta para um problema de controle, e não apenas para um problema de modelo. A IA pode reduzir o tempo necessário para fazer reconhecimento, escrever scripts e contornar obstáculos técnicos. Mas, quando essa capacidade é conectada à infraestrutura de produção, são as permissões, a segmentação, o monitoramento e o desenho de recuperação da organização que determinam o tamanho do prejuízo que um operador — com ou sem assistência de IA — pode causar.

As proteções mais duradouras continuam sendo conhecidas: acesso com menor privilégio possível, autenticação multifator, separação rigorosa entre VPN e serviços de diretório, backups protegidos e imutáveis, registros detalhados, aprovação para mudanças em dispositivos de rede e procedimentos de recuperação testados regularmente.

A IA pode acelerar tanto ataques quanto a defesa. Mas sistemas resilientes dependem de controles que continuem funcionando mesmo quando o modelo erra.