A inteligência artificial virou ferramenta de trabalho, mecanismo de busca, assistente de programação e, inevitavelmente, uma excelente isca para criminosos. Sites falsos de IA agora imitam serviços conhecidos para distribuir malware, roubar credenciais e convencer usuários a executar comandos maliciosos.
A lógica é quase constrangedoramente simples. Se milhões de pessoas procuram todos os dias por ChatGPT, Claude, Copilot, Perplexity e outras ferramentas, não é necessário convencer a vítima a baixar um programa desconhecido. Basta entregar uma versão falsa daquilo que ela já estava procurando.
E é exatamente isso que uma análise da Sophos X Ops encontrou ao revisar casos atendidos pelo serviço Managed Detection and Response da empresa.
Entre 2 de julho de 2025 e 29 de junho de 2026, 86 casos foram inicialmente marcados por algum possível envolvimento de inteligência artificial. Depois de uma revisão individual, apenas 34 realmente apresentavam atividade adversária relacionada à IA. Outros quatro casos identificados durante investigações foram adicionados ao conjunto, levando a análise final a 38 incidentes.
O dado que realmente chama atenção aparece quando esses casos são classificados.
Dos 38 incidentes, 35 envolviam criminosos atacando ou explorando produtos, marcas e ecossistemas relacionados à inteligência artificial. E 30 estavam diretamente relacionados à falsificação de softwares de IA.
Ou seja, por enquanto o grande problema talvez não seja um agente de inteligência artificial autônomo invadindo empresas enquanto humanos dormem. É alguém criando um Claude falso e esperando você clicar.
A marca de IA virou parte da engenharia social
O crescimento explosivo das ferramentas generativas criou algo extremamente valioso para os criminosos: familiaridade.
Quando alguém encontra um site chamado “Super Downloader 2026 Ultimate”, existe alguma chance de desconfiar. Quando encontra uma página visualmente convincente oferecendo Claude, ChatGPT ou outra ferramenta que já conhece, a barreira psicológica é bem menor.
A pesquisa da Sophos mostra isso de forma bastante clara. Entre os casos analisados, a marca Claude apareceu como isca em 26 incidentes.
Esse comportamento não está restrito ao levantamento da empresa. Pesquisadores da Microsoft também documentaram campanhas nas quais marcas relacionadas à inteligência artificial foram utilizadas como parte da engenharia social e identificaram uma extensão maliciosa para navegadores Chromium que imitava a Perplexity para redirecionar pesquisas.
O criminoso não precisa necessariamente atacar a infraestrutura da empresa de IA. Ele precisa atacar a confiança que o usuário deposita naquela marca.
E confiança, na internet, continua sendo uma superfície de ataque bastante eficiente.
Sites falsos de IA aparecem nas buscas e o problema começa ali
Uma das cadeias observadas começa de uma maneira absolutamente normal.
O usuário procura uma ferramenta de inteligência artificial, muitas vezes relacionada à programação. Entre os resultados aparece um anúncio ou página aparentemente legítima. O domínio pode imitar o endereço verdadeiro, a identidade visual parece correta e existe até um belo tutorial explicando como instalar o programa.
Só existe um pequeno detalhe. Aquilo não é o software que o usuário imaginava.
Em vários incidentes apareceu uma técnica chamada InstallFix, uma variação do ClickFix. No ClickFix tradicional, páginas falsas costumam simular erros, verificações ou CAPTCHAs e orientam a vítima a executar determinados comandos para resolver o suposto problema.
No InstallFix, o teatro muda. Em vez de consertar alguma coisa, a vítima acredita estar seguindo as instruções necessárias para instalar um software. A página fornece comandos aparentemente técnicos e o próprio usuário acaba executando o código responsável pela infecção.
É uma engenharia social particularmente eficiente porque transforma a vítima em parte da cadeia de execução.
Não é exatamente o malware arrombando a porta. Alguém entrega a chave e explica onde fica a fechadura. A técnica ClickFix já vinha sendo acompanhada pela Microsoft, que relatou campanhas atingindo milhares de dispositivos corporativos e de usuários por dia.
Sites falsos do Claude escondiam algo bem diferente de uma IA
Em um dos casos analisados pela Sophos, uma página falsa do Claude orientava a vítima a executar um comando usando mshta.
O comando buscava um payload externo apresentado como um pacote do Claude. Depois disso, outro comando PowerShell executava código diretamente na memória e realizava tentativas de process hollowing envolvendo o navegador.
Outras variações entregavam LummaStealer, malware especializado no roubo de informações.
Também foram encontrados arquivos chamados Claude Setup.zip, bibliotecas DLL maliciosas e executáveis apresentados como claude.exe que, na realidade, funcionavam como loaders de malware.
Em uma investigação fora do conjunto principal de casos MDR, pesquisadores chegaram a encontrar uma página falsa do Claude distribuindo uma cadeia de DLL sideloading que terminava em um backdoor até então não documentado, batizado pela Sophos de Beagle.
O nome na tela dizia Claude já o computador estava recebendo algo completamente diferente.
Extensões falsas de IA também entraram no jogo
A falsificação não ficou limitada aos instaladores. Os pesquisadores encontraram extensões apresentadas como assistentes de IA que funcionavam como ladrões de informações e se comunicavam com infraestrutura controlada pelos atacantes.
Esse é um cenário particularmente delicado porque extensões de navegador podem receber permissões bastante amplas. Dependendo do acesso concedido, uma extensão maliciosa ganha uma posição privilegiada para observar navegação, manipular pesquisas e coletar informações.
Em um dos casos citados pela Sophos, quatro clientes instalaram uma extensão falsa da Perplexity que funcionava como sequestrador de navegador, interceptando pesquisas e enviando telemetria de navegação em tempo real para infraestrutura dos criminosos.
A campanha coincide com uma investigação publicada pela Microsoft em junho de 2026. A empresa documentou uma extensão maliciosa baseada em Chromium que utilizava a identidade da Perplexity e redirecionava o tráfego de pesquisa.
É um lembrete importante porque existe uma tendência de considerar extensões como pequenos acessórios do navegador.
Tecnicamente podem ser pequenas. As permissões nem sempre são.
Às vezes nem existe uma IA falsa
Outro grupo de ataques mostra como a marca pode ser suficiente. Os criminosos utilizaram nomes relacionados à inteligência artificial em páginas ClickFix, campanhas de phishing e infraestrutura de comando e controle.
Em alguns casos, a vítima chegava a uma página temática do Claude por meio de publicidade maliciosa e era convencida a executar um comando PowerShell.
Em outros, houve páginas falsas envolvendo compartilhamentos do Microsoft Copilot e campanhas que imitavam a OpenAI para capturar credenciais.
Também apareceram ataques usando links compartilhados do ChatGPT como parte da isca.
A evolução é interessante porque mostra que o criminoso nem sempre precisa clonar completamente um produto. Em determinadas situações, basta inserir uma marca confiável em algum ponto da história para reduzir a desconfiança da vítima.
É engenharia social com uma nova embalagem.
O problema começa a ficar mais interessante quando agentes entram na cadeia
Nem todos os casos envolveram apenas falsificação de marcas. A Sophos também encontrou dois incidentes relacionados à cadeia de suprimentos de software usado em ambientes de inteligência artificial.
Em um deles, um pacote comprometido do LiteLLM no PyPI foi executado em um endpoint. Em outro, um plugin claude-mem instalado por NPX buscou e executou código hospedado remotamente.
Os pesquisadores conseguiram confirmar a execução dos componentes maliciosos, mas não determinar se a instalação havia sido iniciada por uma pessoa ou por um agente de IA.
Parece uma distinção pequena. Não é.
Ferramentas de desenvolvimento cada vez mais autônomas conseguem localizar dependências, instalar pacotes e executar código durante uma tarefa. Se um agente fizer isso automaticamente, o intervalo entre um pacote malicioso ser publicado e executado dentro de um ambiente pode diminuir drasticamente.
O desenvolvedor nem precisa clicar em “aceitar” pois o agente pode fazer o trabalho por ele.
Ataques recentes contra o ecossistema npm mostram que comprometer dependências continua sendo uma superfície relevante independentemente do rótulo de IA. A Microsoft, por exemplo, documentou em junho uma cadeia envolvendo pacote npm comprometido e payload executado após a instalação.
E os criminosos realmente estão usando IA para criar malware?
Aqui é importante separar evidência de empolgação. Porque qualquer script PowerShell com três comentários organizados virou candidato a “malware criado por IA” em algumas manchetes.
A Sophos encontrou sinais interessantes, mas foi cautelosa na atribuição.
Durante uma invasão envolvendo ransomware e um appliance SonicWall SMA comprometido, pesquisadores identificaram scripts PowerShell com características incomuns. Havia comentários extensos explicando etapas, estrutura bastante uniforme e até comentários em mandarim dentro de código ofuscado.
Outro comando criava metodicamente arquivos de teste em diversos formatos antes da implantação do ransomware.
Segundo os pesquisadores, o comportamento parecia compatível com código produzido por um modelo de linguagem.
Mas compatível não significa comprovado. Existiam outros indícios circunstanciais envolvendo ferramentas e modelos de IA, porém a própria Sophos classificou o episódio apenas como um possível caso de ferramentas de ataque geradas por inteligência artificial.
Essa diferença importa.
Encontrar características típicas de código produzido por LLM não permite concluir automaticamente que uma IA escreveu aquele malware.
Em outro ataque, porém, havia evidências bem mais fortes
Um segundo incidente deixou menos espaço para interpretação.
Uma organização do setor financeiro foi comprometida inicialmente por uma vulnerabilidade de SQL injection em uma aplicação PHP personalizada instalada em um dispositivo que não estava protegido pelo serviço MDR.
O invasor implantou web shells, executou comandos de reconhecimento e tentou obter credenciais.
Quando avançou para dispositivos monitorados, as proteções detectaram a atividade.
Durante a investigação apareceu um RAT personalizado que utilizava o Slack como mecanismo de comando e controle.
Os artefatos permitiram relacionar o malware a um repositório público no GitHub. O histórico mostrava o desenvolvimento da ferramenta durante vários dias e indicava a participação de um agente de programação baseado em Claude sob orientação humana.
O projeto evoluiu com funções para execução de comandos, transferência de arquivos, configurações protegidas com DPAPI, persistência por tarefa agendada e outras capacidades típicas de uma ferramenta de acesso remoto.
Nesse caso, havia código fonte e histórico de commits. Para a Sophos, foi a evidência mais clara do conjunto analisado de uma ferramenta ofensiva desenvolvida com assistência direta de um agente de programação.
Mesmo assim, existe uma diferença fundamental. A IA ajudou a construir a ferramenta.
O humano continuava conduzindo a operação.
O exército autônomo de hackers de IA ainda não apareceu nesses dados
Talvez essa seja a conclusão mais interessante de todo o levantamento. A Sophos não encontrou em sua própria telemetria casos confirmados nos quais malware consultava um modelo em tempo de execução para decidir dinamicamente seus próximos comandos.
Também não encontrou casos confirmados de uma inteligência artificial conduzindo praticamente toda a cadeia de ataque com participação humana mínima.
Existem pesquisas, experimentos e incidentes públicos indicando que essas capacidades merecem atenção. Mas elas não dominaram os casos analisados pela empresa.
Na prática, a utilização ofensiva encontrada estava muito mais próxima de uma IA funcionando como copiloto do criminoso.
Ela ajuda a escrever código, testar ferramentas e acelerar determinadas etapas. Mas existe alguém segurando o volante. Por enquanto.
O detalhe mais importante talvez seja o mais antigo de todos
Existe uma certa ironia nessa história. Estamos falando de inteligência artificial generativa, agentes autônomos, modelos abertos e novas ferramentas capazes de escrever software.
Mas boa parte das infecções continua dependendo de coisas extremamente familiares.
Publicidade maliciosa. Sites falsos. Domínios parecidos com os originais. Phishing. Extensões suspeitas. PowerShell. Roubo de credenciais. Pacotes comprometidos. Máquinas sem monitoramento.
A tecnologia da isca mudou muito mais rápido do que os fundamentos do ataque.
Isso também significa que as defesas não precisam começar com algum produto mágico chamado “Antivírus Quântico de IA Generativa Enterprise Edition”. Controles tradicionais continuam relevantes.
Antes de instalar uma ferramenta de IA, descubra de onde ela realmente veio
A principal recomendação derivada dos casos é simples: ferramentas de inteligência artificial devem ser obtidas diretamente dos canais oficiais dos fornecedores.
Resultados patrocinados, tutoriais encontrados aleatoriamente e domínios visualmente parecidos precisam ser tratados com cautela, principalmente quando uma página pede que o usuário copie comandos para PowerShell, Prompt de Comando ou Terminal.
Extensões relacionadas à IA também merecem revisão. É importante verificar o desenvolvedor, a procedência e, principalmente, quais permissões estão sendo solicitadas.
Dentro das empresas, dependências utilizadas por agentes e ferramentas de desenvolvimento precisam entrar nas mesmas políticas de segurança aplicadas ao restante da cadeia de software.
E existe outra lição particularmente importante no caso do RAT criado com auxílio de IA: o ponto inicial da invasão estava justamente em um dispositivo que não estava coberto pelo MDR.
Não adianta discutir segurança de agentes autônomos enquanto existe um servidor antigo esquecido no canto da rede rodando uma aplicação vulnerável.
O futuro costuma entrar pela porta que o passado deixou aberta.
A ameaça de IA mais comum pode ser justamente aquela que não usa IA
O estudo da Sophos ajuda a colocar um pouco de realidade em um tema cercado por exageros.
Sim, criminosos já estão utilizando inteligência artificial para desenvolver ferramentas ofensivas. Existem indícios de código produzido por modelos e pelo menos um caso analisado pela empresa no qual o desenvolvimento de um RAT pôde ser relacionado diretamente a um agente de programação.
Também existem riscos emergentes envolvendo agentes capazes de instalar dependências e executar tarefas com menos supervisão humana.
Mas, entre os incidentes analisados, a maior concentração estava em algo muito mais mundano.
Criminosos fingindo ser empresas de inteligência artificial. A IA não precisava criar o malware. Precisava apenas estar no logotipo.
E enquanto usuários continuarem procurando freneticamente pela próxima ferramenta que promete programar, pesquisar, escrever ou automatizar tudo por eles, haverá alguém tentando transformar essa curiosidade em um clique.
No fim, talvez a recomendação de segurança mais atual para a era da inteligência artificial seja também uma das mais antigas da internet: Antes de instalar qualquer coisa, confira onde você realmente está.
