A análise de um dump de 7 GB coletado por infostealers como Lumma Stealer e Vidar revelou milhares de tokens de sessão e chaves de API válidos para serviços de IA da Google, Anthropic, OpenAI e outros provedores, incluindo pelo menos 24 chaves de API ainda ativas para Gemini, OpenAI, Groq e OpenRouter. Como esses tokens autenticam diretamente a sessão, criminosos conseguem reproduzi-los com navegadores 'anti-detecção' e ferramentas de automação para assumir contas de IA sem precisar da senha nem disparar o desafio de MFA.
O Google Threat Intelligence Group (GTIG) documentou um grupo financeiramente motivado que usou um framework multi-agente autonomo -- combinando um chatbot de codigo com IA, um prompt orientador e um conjunto de instrucoes tipo playbook -- para planejar, construir e executar sozinho uma campanha de coleta de credenciais em terceiros. Em menos de seis horas, o sistema varreu alvos, rotacionou IPs para evitar bloqueio e comprometeu milhares de credenciais sem intervencao humana continua. O relatorio tambem cita outros grupos, incluindo atores ligados a China, usando LLMs para gerar exploits e phishing, e uma tentativa de extrair/destilar capacidades de modelos proprietarios do Google.
A policia federal australiana indiciou dois homens de 23 e 21 anos por 14 acusacoes ligadas ao grupo TeamPCP, responsavel pelo comprometimento em marco de 2026 dos scanners de seguranca open-source Trivy e Checkmarx KICS e do gateway de IA LiteLLM, atraves de roubo de credenciais de publicacao e distribuicao de versoes envenenadas pelos proprios canais oficiais de release. O grupo teria afetado mais de mil organizacoes, roubado mais de 500 mil credenciais e exfiltrado cerca de 300 GB de dados.
A equipe de Threat Intelligence da Microsoft documentou campanhas ativas explorando gateways de IA expostos, encadeando CVEs conhecidas em LiteLLM e Starlette para obter execucao remota de codigo, roubando chaves-mestre de provedores LLM via leitura de memoria de processo, e implantando persistencia e mineradores de criptomoeda. O artigo recomenda tratar gateways de IA como ativos Tier-0 de armazenamento de segredos, com chaves virtuais limitadas e regras de saida restritivas.
Pesquisadores demonstraram que os blocos de raciocínio oculto usados pelas APIs de reasoning da OpenAI, Anthropic e Google podiam ser reaproveitados entre sessões, usuários e até modelos diferentes, e que um modelo menor bastava para transcrever o conteúdo de um modelo maior. A técnica recuperou centenas de segredos reais — chaves de API, senhas e tokens — que apareciam apenas no raciocínio oculto, nunca no texto visível, tornando a sanitização de logs tradicional insuficiente.
Duas versões do LiteLLM, biblioteca amplamente usada como proxy/gateway para múltiplas APIs de LLM, ficaram no PyPI por cerca de 40 minutos em março carregando um payload que roubava chaves de nuvem, SSH, tokens Kubernetes e credenciais de banco de dados. O incidente foi rastreado como parte da mesma cadeia de ataque à supply chain que comprometeu o scanner Trivy, da Aqua Security, e já rendeu um CVE (CVE-2026-33634) e um alerta do FBI sobre uso futuro das credenciais roubadas.
Um pesquisador de segurança detalhou uma cadeia de ataque que parte de uma mensagem recebida no WhatsApp e termina com controle total da máquina onde roda o OpenClaw, assistente pessoal de IA, ao encadear três falhas hoje corrigidas - entre elas a GHSA-hjr6-g723-hmfm, de severidade alta (CVSS 8,8), ligada a injeção de comandos no sistema operacional. As vulnerabilidades combinadas permitem escalonamento de privilégio e execução arbitrária de código no host, expondo credenciais da vítima a partir de uma única interação no aplicativo de mensagens. O caso mostra como assistentes de IA com acesso simultâneo a canais de mensageria e ao sistema operacional local ampliam significativamente a superfície de ataque tradicional.
A Microsoft desativou mais de 70 repositórios próprios no GitHub, entre eles os de Azure Functions e Durable Task, depois que pesquisadores identificaram um commit malicioso que plantava arquivos de configuração armadilhados. Esses arquivos eram acionados ao abrir o repositório em ferramentas de codificação com IA como Claude Code, Gemini CLI, Cursor e VS Code, capturando credenciais das vítimas. O caso expõe um vetor de ataque à cadeia de suprimentos voltado especificamente a fluxos de trabalho de agentes de codificação assistidos por IA; a Microsoft diz ter notificado os clientes potencialmente afetados.