Principais destaques:
- Uma vulnerabilidade zero-click permitia o roubo de dados e o sequestro de agentes de IA sem qualquer ação do usuário
- A falha explorava a memória de longo prazo do agente Deep Research do ChatGPT
- O problema foi corrigido pela OpenAI, mas reacendeu o debate sobre riscos da IA autônoma
Uma vulnerabilidade crítica descoberta recentemente mostrou como agentes de inteligência artificial podem se tornar vetores silenciosos de ataques cibernéticos.
Batizada de ZombieAgent, a falha afetava o agente Deep Research do ChatGPT, da OpenAI, e permitia que invasores roubassem dados sensíveis sem qualquer interação do usuário.
O ataque era considerado zero-click porque não exigia cliques, downloads ou autorizações explícitas.
Tudo acontecia dentro da própria infraestrutura em nuvem da OpenAI, o que tornava inúteis mecanismos tradicionais de defesa corporativa, como firewalls e sistemas de proteção de endpoints.
Como o ZombieAgent explorava agentes autônomos
A exploração funcionava a partir da inserção de instruções maliciosas em e-mails ou documentos aparentemente comuns. Ao processar esse conteúdo, o agente autônomo incorporava comandos ocultos que passavam a operar de forma persistente.
Uma vez comprometido, o agente conseguia acessar caixas de e-mail, examinar arquivos sensíveis e se comunicar com servidores externos de forma silenciosa.
Tudo isso ocorria sem qualquer sinal visível para o usuário ou para as equipes de segurança da empresa afetada.
Manipulação de memória e efeito tipo worm
O aspecto mais preocupante do ZombieAgent foi a capacidade de gravar regras maliciosas diretamente na memória de longo prazo do agente. Isso permitia que o controle persistisse ao longo do tempo, sendo reativado sempre que o agente fosse utilizado.
Além disso, o ataque podia se propagar automaticamente para novos alvos, como contatos de e-mail, criando uma dinâmica semelhante à de um worm digital. Segundo pesquisadores, isso ampliava o risco de campanhas em cadeia dentro e fora das organizações.
A técnica se baseava em conceitos semelhantes à vulnerabilidade ShadowLeak, divulgada anteriormente pela Radware. Mesmo após correções anteriores, os invasores conseguiram contornar restrições usando URLs pré-construídas para exfiltrar dados caractere por caractere.
O alerta para o futuro da IA agêntica
Para Pascal Geenens, vice-presidente de inteligência de ameaças da Radware, o caso expõe um problema estrutural.
Empresas estão confiando cada vez mais em agentes de IA para acessar sistemas críticos, mas ainda não têm visibilidade suficiente sobre como esses agentes interpretam conteúdos não confiáveis ou quais ações executam na nuvem.
A OpenAI foi notificada sobre a falha em setembro e aplicou a correção em dezembro. Mesmo assim, o episódio reforça a urgência de novos modelos de segurança para agentes autônomos.
Com a adoção acelerada da IA em ambientes corporativos, o ZombieAgent serve como um sinal claro de que inteligência e autonomia também trazem riscos proporcionais.
