--- id: ai-agents-hack-100-companies-oct2026 date: 2026-10-19 category: security title: Hacker usou um exército de agentes de IA para invadir sites de mais de 100 empresas title_en: Hacker Used an Army of AI Agents to Break into 100+ Companies' Websites title_es: Un hacker utilizó un ejército de agentes de IA para invadir sitios web de más de 100 empresas ---
O dia em que o hacking autônomo saiu do papel
Um hacker de língua chinesa invadiu sites de mais de 100 empresas usando agentes de inteligência artificial autônomos — e o custo total da operação foi estimativo em US$ 5 mil. Os afetados incluem John Deere, SharkNinja e Cummins. O que aconteceu nos últimos semanas representa o primeiro relato documentado e datado de um ataque cibernético em larga escala executado principalmente por software autônomo, não por operadores humanos. A descoberta foi feita pelo pesquisador de ameaças Snorre Fagerland, da NorForge, que encontrou cerca de duas instâncias expostas da plataforma open-source Cairn sendo usadas para atividade maliciosa a partir de 2 de outubro.
A história, apurada em exclusivo pela Reuters e publicada em 19 de outubro, mudou o debate sobre segurança cibernética de um cenário teórico para um caso real. Por mais de uma década, pesquisadores alertaram que os agentes de IA eventualmente seriam usados para atacar sistemas — mas até agora, os casos documentados envolviam hackers usando IA como ferramenta assistiva, não como executante autônomo. Neste caso, a diferença é fundamental.
O que aconteceu
De acordo com o relatório da NorForge, que foi fornecido à Reuters antes da publicação, um pesquisador de cibersegurança acompanhou durante semanas a atividade de um hacker de língua chinesa que configurou agentes de IA para atacar sistematicamente sites de comércio eletrônico em quatro continentes. A campanha começou em 25 de setembro e foi direcionada a empresas dos Estados Unidos, Canadá, Austrália e Japão.
As instruções do hacker para os agentes foram sucintas: menos de 100 caracteres em chinês descreviam as táticas preferidas de intrusão. A partir daí, os agentes passaram a trabalhar sozinhos, gastando horas escaneando alvos, descobrindo vulnerabilidades e executando exploits. As intrusões bem-sucedidas levavam em torno de 23 horas de tentativa e erro por alvo.
O hacker tentou invadir mais de 1.200 sites no total, com intrusões bem-sucedidas em mais de 100 empresas. O custo estimado da operação completa foi de cerca de US$ 5 mil em tokens de IA — aproximadamente US$ 50 por invasão bem-sucedida. A cifra, segundo Fagerland, cobre principalmente o consumo de tokens dos modelos de IA (DeepSeek e Claude Code) e não inclui infraestrutura, proxies ou outros custos indiretos.
As vítimas
Entre as empresas nomeadas como vítimas estão John Deere, a gigante de equipamentos agrícolas e de construção; SharkNinja, a marca de eletrodomésticos; e Cummins, fabricante de motores e sistemas de energia. Todas mantêm infraestrutura web extensa voltada ao cliente: e-commerce, portals de pedidos de peças, sistemas de garantia e portais de concessionários.
A John Deere afirmou à Reuters que tomou "ações de remediação necessárias" e que não tinha "indicação de que informações sensíveis foram acessadas". A SharkNinja declarou que o ataque atingiu um site autônomo que carregava apenas informações de suporte ao produto e que a ameaça havia sido contida. A Cummins disse estar "investigando o relato de um possível ataque cibernético a um site operado por um de nossos fornecedores terceirizados".
Duas empresas menores também reconheceram ter sido comprometidas. No X, um dos desenvolvedores da plataforma Cairn escreveu que seu sistema "era um tipo inovador de arquitetura multi-agente e não foi projetado para ataques de hacking. Se for usado para realizar ataques de hacking prejudiciais, essa não é a minha intenção".
Por que isso é diferente de ataques anteriores com IA
Os ataques com IA não são um conceito inteiramente novo. Em novembro de 2025, a Anthropic divulgou uma campanha de espionagem cibernética na qual a IA executou 80% a 90% das operações. Em julho de 2026, a Sysdig documentou o primeiro incidente envolvendo um "agente de sistema" — um caso que a OpenAI descreveu como "um incidente cibernético sem precedentes". Em junho de 2026, as agências de segurança cibernética do Five Eyes emitiram uma declaração conjunta dizendo que "o cronograma não é anos, são meses".
A diferença deste caso, porém, está no grau de autonomia e no modelo de economia. Nos ataques anteriores, um humano geralmente permanecia responsável por decisões-chave em cada etapa. No caso reportado pela Reuters, o hacker forneceu apenas as instruções iniciais e deixou os agentes cuidarem de reconhecimento, exploração, movimento lateral e extração de dados por conta própria, sem supervisão contínua.
Segundo Fagerland, em um caso documentado, os agentes falharam em encontrar vulnerabilidades na aplicação pública de uma empresa grande e, em vez de desistir, vasculharam registros digitais para encontrar infraestrutura associada, localizaram um painel de controle público, descobriram uma vulnerabilidade sutil no processamento de dados e, após horas de tentativa e erro, conseguiram explorar a falha para fazer o servidor executar comandos maliciosos.
"Não é simples vir com soluções assim", disse Fagerland. "Não é coisa de script kiddie."
A economia do crime autônomo
O aspecto mais transformador da campanha não é a técnica — que, apesar de sofisticada, usa ferramentas comerciais amplamente disponíveis —, mas a mudança nas economias do cibercrime. Tradicionalmente, ataques em larga escala exigiam equipes grandes, ferramentas caras ou ambos. Um agente de IA com acesso a modelos de linguagem comerciais reduz drasticamente essa barreira: não precisa dormir, não precisa de salário e não perde motivação.
A empresa Bitsight relatou na semana anterior à reportagem que discussões sobre o uso de agentes autônomos estavam surgindo com frequência crescente em fóruns de cibercriminosos. Em agosto, a Gambit Security documentou extorsionistas de língua russa usando o Cursor AI da SpaceX para invadir sete organizações. Em setembro, a mesma empresa registrou uma campanha dirigida por agentes que resultou em invasões em 25 empresas e roubo de pelo menos 600 mil registros de cartão de crédito.
O modelo de $50 por invasão, mesmo que estimativa, coloca o custo abaixo do preço de muitos exploits comerciais em mercados clandestinos, mas com a diferença crucial de escalabilidade: um único operador pode tentar milhares de alvos simultaneamente, algo impraticável com equipes humanas.
O que as empresas devem fazer agora
Segundo especialistas, a lição central não é que a IA criou uma categoria inteiramente nova de ataque, mas que técnicas existentes podem agora ser automatizadas, coordenadas e escaladas com menos esforço humano do que nunca. A resposta defensiva precisa evoluir em três frentes.
Em primeiro lugar, a segurança dos próprios agentes de IA — frameworks como Cairn, que não foram projetados como ferramentas de hacking, podem ser reaproveitados para fins maliciosos quando expostos na internet. Segundo, as empresas precisam auditar quais sistemas seus agentes internos podem acessar e restringir permissões ao mínimo necessário. Terceiro, a detecção de atividade autônoma em logs de rede e sistemas precisará de novas abordagens, já que os padrões tradicionais de detecção foram calibrados para comportamento humano.
O relatório completo da NorForge está disponível em norforge.com/blog/inside_cairn, e a análise técnica detalhada pelo Shattered Newsletter oferece comparações entre campanhas de 2025 e 2026.
A pergunta que fica: se um hacker conseguiu invadir 100 empresas com US$ 5 mil e menos de 100 caracteres de instrução, quantas mais tentativas estão em andamento enquanto ninguém está olhando?
---
When autonomous hacking left the lab
A Chinese-speaking hacker breached websites belonging to more than 100 companies using autonomous artificial intelligence agents — and the total cost of the operation was estimated at around US$ 5,000. Those affected included John Deere, SharkNinja, and Cummins. What unfolded over the past weeks represents the first documented, dated account of a wide-scale cyberattack executed primarily by autonomous software rather than human operators. The discovery was made by threat researcher Snorre Fagerland of NorForge, who found about two dozen exposed instances of the open-source Cairn platform being used for malicious activity beginning on October 2.
The story, reported exclusively by Reuters and published on October 19, shifted the debate about cybersecurity from a theoretical scenario to a real-world case. For more than a decade, researchers warned that AI agents would eventually be used to attack systems — but until now, documented cases involved hackers using AI as an assistive tool, not as an autonomous executor. In this case, the distinction is fundamental.
What happened
According to the NorForge report provided to Reuters ahead of publication, a cybersecurity researcher observed for weeks the activity of a Chinese-speaking hacker who configured AI agents to systematically attack e-commerce websites across four continents. The campaign began on September 25 and targeted companies in the United States, Canada, Australia, and Japan.
The hacker's instructions to the agents were brief: fewer than 100 Chinese characters described preferred intrusion tactics. From there, the agents worked alone, spending hours scanning targets, discovering vulnerabilities, and executing exploits. Successful intrusions took around 23 hours of trial and error per target.
The hacker attempted to breach more than 1,200 sites in total, with successful intrusions into more than 100 companies. The estimated cost of the complete operation was about US$ 5,000 in AI tokens — approximately US$ 50 per successful breach. According to Fagerland, this figure covers mainly the token consumption of the AI models (DeepSeek and Claude Code) and does not include infrastructure, proxies, or other indirect costs.
The victims
Among the named victims are John Deere, the agricultural and construction equipment giant; SharkNinja, the home appliance brand; and Cummins, the engine and power systems manufacturer. All maintain extensive customer-facing web infrastructure: e-commerce, parts ordering portals, warranty systems, and dealer portals.
John Deere told Reuters it had taken "necessary remediation actions" and had "no indication that sensitive information was accessed." SharkNinja stated that the attack hit a standalone site carrying only product support information and that the threat had been contained. Cummins said it was "investigating the report of a potential cyber-attack on a website operated by one of our third-party vendors."
Two smaller businesses also acknowledged being compromised. On X, one of the developers of the Cairn platform wrote that their system "was an innovative type of multi-agent architecture and was not designed for hacking attacks. If it is used to carry out harmful hacking attacks, that is not my intention."
Why this is different from previous AI-assisted attacks
AI-assisted attacks are not a brand-new concept. In November 2025, Anthropic disclosed a cyber-espionage campaign in which AI executed 80% to 90% of the operations. In July 2026, Sysdig documented the first incident involving a "system agent" — a case OpenAI described as "an unprecedented cyber incident." In June 2026, the Five Eyes cybersecurity agencies issued a joint statement saying "the timeline is not years, it is months."
The difference in this case, however, lies in the degree of autonomy and the economics model. In previous attacks, a human typically remained responsible for key decisions at each step. In the case reported by Reuters, the hacker provided only the initial instructions and left the agents to handle reconnaissance, exploitation, lateral movement, and data extraction on their own, without continuous supervision.
According to Fagerland, in one documented case, the agents failed to find vulnerabilities in a large company's public application and, rather than giving up, sifted through digital records to find associated infrastructure, located a public control panel, discovered a subtle vulnerability in data processing, and after hours of trial and error, managed to exploit the flaw to make the server execute malicious commands.
"It's not straightforward to come up with solutions like that," Fagerland said. "It's not script kiddie stuff."
The economics of autonomous crime
The most transformative aspect of the campaign is not the technique — which, despite being sophisticated, uses commercially available tools — but the shift in cybercrime economics. Traditionally, large-scale attacks required large teams, expensive tools, or both. An AI agent with access to commercial language models dramatically reduces that barrier: it doesn't need to sleep, doesn't need a salary, and doesn't lose motivation.
Bitsight reported the week before the report that discussions about using autonomous agents were surfacing with increasing frequency on cybercriminal forums. In August, Gambit Security documented Russian-speaking extortionists using SpaceX's Cursor AI tool to breach seven organizations. In September, the same company documented an agent-driven spree that resulted in breaches at 25 companies and the theft of at least 600,000 credit card records.
The $50-per-breach model, even as an estimate, places the cost below many commercial exploits on clandestine markets — but with the crucial difference of scalability: a single operator can attempt thousands of targets simultaneously, something impractical with human teams.
What companies should do now
According to experts, the central lesson is not that AI created an entirely new category of attack, but that existing techniques can now be automated, coordinated, and scaled with less human effort than ever before. The defensive response needs to evolve across three fronts.
First, security for the agents themselves — frameworks like Cairn, which were not designed as hacking tools, can be repurposed for malicious ends when exposed on the internet. Second, companies need to audit what systems their internal agents can access and restrict permissions to the minimum necessary. Third, detection of autonomous activity in network logs and systems will require new approaches, since traditional detection patterns were calibrated for human behavior.
The full NorForge report is available at norforge.com/blog/inside_cairn, and the detailed technical analysis by the Shattered Newsletter offers comparisons between 2025 and 2026 campaigns.
The question remains: if one hacker managed to breach 100 companies with $5,000 and fewer than 100 characters of instruction, how many more attempts are underway while nobody is watching?
---
Cuando el hacking autónomo salió del laboratorio
Un hacker de habla china vulneró sitios web de más de 100 empresas utilizando agentes de inteligencia artificial autónomos — y el costo total de la operación se estimó en alrededor de US$ 5.000. Los afectados incluyeron a John Deere, SharkNinja y Cummins. Lo que ocurrió en las últimas semanas representa el primer relato documentado y fechado de un ciberataque a gran escala ejecutado principalmente por software autónomo y no por operadores humanos. El descubrimiento fue realizado por el investigador de amenazas Snorre Fagerland, de NorForge, quien encontró alrededor de dos decenas de instancias expuestas de la plataforma open-source Cairn siendo utilizadas para actividad maliciosa a partir del 2 de octubre.
La historia, investigada en exclusivo por Reuters y publicada el 19 de octubre, cambió el debate sobre seguridad cibernética de un escenario teórico a un caso real. Durante más de una década, los investigadores advirtieron que los agentes de IA eventualmente serían utilizados para atacar sistemas — pero hasta ahora, los casos documentados involucraban hackers utilizando IA como herramienta de asistencia, no como ejecutor autónomo. En este caso, la diferencia es fundamental.
Lo que sucedió
Según el informe de NorForge, que fue proporcionado a Reuters antes de la publicación, un investigador de ciberseguridad observó durante semanas la actividad de un hacker de habla china que configuró agentes de IA para atacar sistemáticamente sitios de comercio electrónico en cuatro continentes. La campaña comenzó el 25 de septiembre y fue dirigida a empresas de Estados Unidos, Canadá, Australia y Japón.
Las instrucciones del hacker para los agentes fueron breves: menos de 100 caracteres en chino describían las tácticas preferidas de intrusión. A partir de ahí, los agentes trabajaron solos, gastando horas escaneando objetivos, descubriendo vulnerabilidades y ejecutando exploits. Las intrusiones exitosas tomaron alrededor de 23 horas de prueba y error por objetivo.
El hacker intentó vulnerar más de 1.200 sitios en total, con intrusiones exitosas en más de 100 empresas. El costo estimado de la operación completa fue de aproximadamente US$ 5.000 en tokens de IA — cerca de US$ 50 por intrusión exitosa. Según Fagerland, esta cifra cubre principalmente el consumo de tokens de los modelos de IA (DeepSeek y Claude Code) y no incluye infraestructura, proxies u otros costos indirectos.
Las víctimas
Entre las empresas nombradas como víctimas están John Deere, la gigante de equipos agrícolas y de construcción; SharkNinja, la marca de electrodomésticos; y Cummins, fabricante de motores y sistemas de energía. Todas mantienen infraestructura web extensa orientada al cliente: e-commerce, portales de pedidos de piezas, sistemas de garantía y portales de distribuidores.
John Deere declaró a Reuters que había tomado "acciones de remediación necesarias" y que no tenía "indicio de que información sensible haya sido accedida". SharkNinja afirmó que el ataque alcanzó un sitio autónomo que cargaba únicamente información de soporte al producto y que la amenaza había sido contenida. Cummins dijo que estaba "investigando el relato de un posible ciberataque a un sitio operado por uno de nuestros proveedores tercerizados".
Dos empresas menores también reconocieron haber sido comprometidas. En X, uno de los desarrolladores de la plataforma Cairn escribió que su sistema "era un tipo innovador de arquitectura multi-agente y no fue diseñado para ataques de hacking. Si es usado para realizar ataques de hacking perjudiciales, esa no es mi intención".
Por qué esto es diferente de ataques anteriores con IA
Los ataques con IA no son un concepto completamente nuevo. En noviembre de 2025, Anthropic divulgó una campaña de espionaje cibernética en la que la IA ejecutó el 80% al 90% de las operaciones. En julio de 2026, Sysdig documentó el primer incidente involucrando un "agente del sistema" — un caso que OpenAI describió como "un incidente cibernico sin precedentes". En junio de 2026, las agencias de seguridad cibernética del Five Eyes emitieron una declaración conjunta diciendo que "el cronograma no es años, son meses".
La diferencia en este caso, sin embargo, radica en el grado de autonomía y en el modelo económico. En ataques anteriores, un humano generalmente permanecía responsable por decisiones clave en cada etapa. En el caso reportado por Reuters, el hacker proporcionó únicamente las instrucciones iniciales y dejó que los agentes se encargaran del reconocimiento, la explotación, el movimiento lateral y la extracción de datos por su cuenta, sin supervisión continua.
Según Fagerland, en un caso documentado, los agentes fallaron al encontrar vulnerabilidades en la aplicación pública de una empresa grande y, en lugar de abandonar, revisaron registros digitales para encontrar infraestructura asociada, localizaron un panel de control público, descubrieron una vulnerabilidad sutil en el procesamiento de datos y, tras horas de prueba y error, lograron explotar la falla para hacer que el servidor ejecutara comandos maliciosos.
"No es sencillo llegar a soluciones así", dijo Fagerland. "No es cosa de script kiddie".
La economía del crimen autónomo
El aspecto más transformador de la campaña no es la técnica — que, a pesar de ser sofisticada, utiliza herramientas comerciales ampliamente disponibles —, sino el cambio en las economías del cibercrimen. Tradicionalmente, ataques a gran escala exigían equipos grandes, herramientas costosas o ambos. Un agente de IA con acceso a modelos de lenguaje comerciales reduce drásticamente esa barrera: no necesita dormir, no necesita salario y no pierde motivación.
La empresa Bitsight reportó en la semana anterior a la investigación que discusiones sobre el uso de agentes autónomos estaban surgiendo con frecuencia creciente en foros de cibercriminosos. En agosto, Gambit Security documentó extorsionistas de habla rusa utilizando la herramienta Cursor AI de SpaceX para vulnerar siete organizaciones. En septiembre, la misma empresa registró una campaña dirigida por agentes que resultó en vulneraciones en 25 empresas y el robo de al menos 600.000 registros de tarjetas de crédito.
El modelo de $50 por intrusión, incluso como estimativa, coloca el costo por debajo del precio de muchos exploits comerciales en mercados clandestinos, pero con la diferencia crucial de escalabilidad: un único operador puede intentar miles de objetivos simultáneamente, algo impracticable con equipos humanos.
Qué deben hacer las empresas ahora
Según expertos, la lección central no es que la IA creó una categoría completamente nueva de ataque, sino que las técnicas existentes pueden ahora ser automatizadas, coordinadas y escaladas con menos esfuerzo humano de lo que nunca antes. La respuesta defensiva necesita evolucionar en tres frentes.
En primer lugar, la seguridad de los propios agentes — frameworks como Cairn, que no fueron diseñados como herramientas de hacking, pueden ser reaprovechados para fines maliciosos cuando están expuestos en internet. En segundo lugar, las empresas necesitan auditar qué sistemas sus agentes internos pueden acceder y restringir permisos al mínimo necesario. En tercer lugar, la detección de actividad autónoma en logs de red y sistemas necesitará nuevos enfoques, ya que los patrones tradicionales de detección fueron calibrados para comportamiento humano.
El informe completo de NorForge está disponible en norforge.com/blog/inside_cairn, y el análisis técnico detallado por el Shattered Newsletter ofrece comparaciones entre campañas de 2025 y 2026.
La pregunta que queda: si un hacker logró vulnerar 100 empresas con $5.000 y menos de 100 caracteres de instrucción, ¿cuántos intentos más están en curso mientras nadie está mirando?
Fontes: The Verge, Reuters / Shattered, RTE News
✓ Fontes independentes cruzadas e verificadas antes da publicação
