A Microsoft documentou a expansão do ARTEX, um framework ofensivo que usa um agente de IA para orquestrar ferramentas como Nmap, curl, wget e automação de navegador via Playwright, em ataques do grupo financeiramente motivado Storm-3358 contra instituições financeiras no Sudeste Asiático e, em menor escala, globalmente. O agente executa varredura, exploração, instalação de RATs, força bruta e exfiltração de forma automatizada e em alta velocidade, e a Microsoft recomenda defesas específicas para esse tipo de ameaça, como honeypots e detecção comportamental.

A Chainalysis revelou que um ataque "on-path" (man-in-the-middle) expôs nomes de usuário, hashes de senha e tokens de sessão ativos de toda a sua base de clientes, dias depois de admitir que atacantes usando "técnicas ofensivas agênticas" baseadas em IA já haviam acessado nomes, e-mails e papéis organizacionais de usuários. A empresa tirou do ar o portal de login, o Reactor, o KYT e as APIs de triagem de endereços, e agora exige reset de senha e rotação de chaves de API de clientes que incluem forças policiais, governos e instituições financeiras.

Segundo a Axios, um sistema automatizado construído sobre o GPT-6 Cyber da OpenAI identificou 1.724 falhas de segurança no kernel Linux e conseguiu explorar 948 delas até obter acesso de administrador, usando ao menos 10 técnicas até então desconhecidas, a um custo de aproximadamente US$ 1,2 milhão em créditos de API. O mesmo pipeline também encontrou 81 falhas inéditas de alta gravidade no Firefox, com revisão humana dos achados antes da divulgação responsável aos mantenedores.

A OpenAI lançou o GPT-6 Cyber, modelo voltado à pesquisa de segurança ofensiva e defensiva, depois de usá-lo internamente para identificar 1.724 falhas no kernel Linux e explorar 948 delas até obter acesso administrativo, incluindo ao menos dez técnicas inéditas, além de 81 vulnerabilidades de alta severidade no Firefox. A empresa afirma que pesquisadores humanos revisaram os achados antes de reportá-los aos mantenedores, mas o episódio reabre a discussão sobre o uso dual — defensivo e ofensivo — desse tipo de capacidade automatizada.

Pesquisadores da Forever Security demonstraram que uma extensão de navegador maliciosa, ao interagir com claude.ai, consegue acionar o Dispatch — recurso que permite enviar tarefas do celular para o Claude Desktop — como canal para fazer o Claude Desktop executar código no computador da vítima. A falha teria sido reportada à Anthropic em maio de 2026 e, segundo a reportagem, ainda era explorável seis meses depois, sem correção confirmada publicamente.

Pesquisadores testam um «gate» de recuperação baseado num modelo de decisão compacto (Kev-4B) que lê o HTML bruto de cada página recuperada por um sistema de RAG e decide, sem gerar texto, se ela deve ser admitida. O gate reduziu o sucesso de prompt injection de 27,9% (sem defesa) para 5,7%, e manteve exposição a páginas falsas abaixo de 1% num cenário de poluição onde dois terços do conteúdo recuperado era fabricado, com apenas 76ms de latência por passagem.

Um estudo formaliza a interação entre golpistas que usam agentes de IA para escalar fraudes e agentes defensivos de «scambaiting» que se infiltram nessas conversas para extrair inteligência de ameaças, como contas de mulas e carteiras cripto. O modelo indica que a lucratividade da fraude cai abaixo de zero a partir de certo limiar de prevalência de agentes defensivos, e que, quando ambos os lados melhoram no mesmo ritmo, o investimento do defensor em qualidade de mímica supera, proporcionalmente, os ganhos do atacante em capacidade de detecção.

Um novo benchmark de prompt injection indireta argumenta que a maioria das avaliações atuais mede apenas ataques que trocam a tarefa do agente, ignorando ataques de «task-tampering» que mantêm a tarefa original mas adulteram a decisão em seis pontos diferentes do raciocínio do agente. Defesas que funcionam bem contra redirecionamento de tarefa falham significativamente contra adulteração de regras de decisão, ações disponíveis e crenças sobre o estado atual.