Chave de API da METR é roubada e usada para consumir cerca de US$ 600 mil em créditos de IA
A METR, organização que avalia riscos de modelos de IA de fronteira em tarefas agenticas de longo horizonte, revelou dois incidentes de segurança separados em que atacantes tentaram e, em um dos casos, conseguiram acesso não autorizado à sua infraestrutura. No primeiro incidente, uma falha de autenticação do tipo 'fail-open' expôs publicamente uma instância usada por um pesquisador, permitindo o roubo de uma chave de API que gerou cerca de US$ 600 mil em consumo indevido de créditos de inferência.
Em março de 2026, um pesquisador da METR operava agentes em uma instância EC2 pessoal deliberadamente exposta à internet, mas supostamente protegida por autenticação via conta Google. Um defeito de implementação fez com que essa autenticação falhasse de forma 'aberta' (fail-open): em vez de bloquear acesso quando a checagem falhava, o sistema simplesmente deixou de exigir login, deixando o painel acessível a qualquer pessoa por vários dias.
A hipótese mais provável é que os atacantes descobriram a instância vasculhando listas de transparência de certificados TLS em busca de hosts com termos relacionados a LLMs — uma técnica de reconhecimento passivo comum contra infraestrutura exposta acidentalmente. Uma vez dentro, eles manipularam diretamente um dos agentes em execução para que revelasse a chave de API armazenada, adicionaram uma chave SSH própria para garantir acesso persistente e passaram cerca de três semanas consumindo créditos de inferência de modelos de fronteira às custas do provedor, totalizando por volta de US$ 600 mil (valor absorvido pelo provedor de modelo, não cobrado diretamente da METR).
Em maio, a METR identificou uma segunda onda de atividade: uma campanha sustentada de sondagem contra sua infraestrutura pública, combinando credential stuffing, tentativas de abuso de fluxos OAuth, varredura de serviços recém-publicados e phishing direcionado. Nessa mesma janela, foi encontrada uma vulnerabilidade em um visualizador SQL público de transcrições que poderia ter exposto dados de avaliação ainda não publicados.
O caso ilustra um padrão que tende a se repetir conforme mais laboratórios de pesquisa e empresas operam agentes de IA com acesso a créditos e credenciais caras: a superfície de ataque não é o modelo em si, mas a infraestrutura convencional ao redor dele (autenticação mal configurada, chaves de API com escopo amplo, painéis de administração expostos). O prejuízo financeiro direto, o vetor de reconhecimento via certificate transparency e a persistência via chave SSH plantada são todos comportamentos clássicos de intrusão, agravados aqui pelo valor alto que créditos de inferência de modelos de fronteira representam como alvo.