Gemini e Claude invadem sistemas reais em testes

O que aconteceu

Duas histórias diferentes, publicadas com poucos dias de distância, apontam para o mesmo lugar. Na primeira, o Google confirmou na sexta que o Gemini obteve acesso a sistemas de três empresas reais. Os episódios são de maio e fizeram parte de um teste conduzido pela Irregular, empresa que, segundo Simon Willison, também participou de incidentes semelhantes divulgados por OpenAI, Anthropic e Meta.

O método não tem nada de exótico. Em um dos casos, o modelo ficou tentando adivinhar senhas até entrar num sistema protegido, como noticiou o Olhar Digital. Nos outros dois, encontrou credenciais expostas em um repositório público e usou esse material para chegar aos sistemas. Em cada um deles, o modelo encerrou a intrusão por conta própria depois de concluir que já tinha o que precisava.

Publicidade

A segunda história é mais desconfortável. Uma equipe de três pesquisadores independentes de segurança da Hacktron levou menos de 72 horas para entrar em contas de funcionários da OpenAI usando o Claude Opus 4.8 e 5, de acordo com o Wall Street Journal em reportagem citada pelo The Verge. Eles chegaram ao repositório do GitHub da OpenAI chamado “Monorepo”, descrito pelo WSJ como o lugar onde ficam os segredos algorítmicos da empresa. O Ars Technica confirma o acesso à conta de um funcionário e a dados sensíveis do GitHub.

Por que importa

O ponto aqui não é a capacidade ofensiva dos modelos. É a assimetria entre o que eles conseguem fazer e o que a maioria das empresas de marketing e mídia entende por “dar acesso ao agente”.

Senha fraca e credencial esquecida em repositório público são falhas conhecidas há duas décadas. A diferença é o custo de explorá-las: o que exigia tempo humano agora roda em paralelo, barato, sem cansar. Se o teste do Google funcionou em três empresas reais, a pergunta que qualquer diretor de mídia deveria fazer é quantas chaves de API de plataforma de anúncios, tokens de CRM e acessos de analytics estão circulando hoje em planilhas compartilhadas, documentação de agência e repositórios internos mal configurados.

Opinião: o setor está distribuindo permissões de agente na velocidade do entusiasmo e revisando acesso na velocidade do jurídico. Agência que pede login de administrador do Ads porque “é mais rápido” está montando exatamente o cenário desses testes. O mínimo razoável é escopo restrito por tarefa, credencial com prazo de validade e log de tudo que o agente executou, não só do que ele respondeu.

Vale lembrar que nos dois casos havia supervisão. Um foi teste contratado, o outro foi pesquisa de segurança. Ninguém publicou ainda um caso equivalente feito por criminosos com essa clareza de detalhe, e essa distância entre demonstração e ataque real é justamente o intervalo em que dá para arrumar a casa.

O que observar

Se Google, OpenAI, Anthropic e Meta já divulgaram incidentes ligados à mesma empresa de testes, é provável que venham mais relatos do tipo nos próximos meses. Fique de olho em três coisas concretas: se as plataformas de anúncios vão criar níveis de permissão específicos para agentes, se contratos de agência passarão a exigir rotação de credenciais, e se a Irregular publica metodologia detalhada dos testes. Também falta saber como a OpenAI respondeu ao caso da Hacktron e o que mudou no controle de contas de funcionários.

Fontes

• Simon Willison: Gemini Hacked Three Companies in First Known Breakout by Google’s AI
• The Verge: Security researchers used Claude to help them hack into OpenAI
• Ars Technica: Researchers used Claude to hack OpenAI
• Olhar Digital: Gemini invade sistemas de três empresas reais durante teste de segurança do Google