Ataques agora rodam frameworks de agentes em intrusões reais. O Google registrou 27 ações em 23 segundos

27 eventos em 23 segundos. Foi o tempo que o ferramental de um atacante levou para sondar permissões da AWS em security groups, em uma intrusão investigada pelo Google Threat Intelligence Group e pela Mandiant. Nenhuma pessoa digita tão rápido. E ninguém que lê alertas responde tão rápido.

O relatório, publicado em 30 de outubro, documenta atores de ameaça usando frameworks ofensivos agênticos open source em engajamentos reais de resposta a incidentes desde o fim de agosto de 2026. Ataques agênticos são tema de laboratório há um ano. Esta é evidência vinda de ambientes de clientes.

O que o Google observou de fato

Os frameworks citados são ARTEX, Hexstrike, CAIRN e PentAGI, todos criados como ferramentas de teste de penetração e reaproveitados. O ARTEX, peça central, é uma plataforma multiagente em Go que divide o ciclo de vida do ataque entre seis subagentes especializados e também funciona como comando e controle. O PentAGI suporta mais de uma dúzia de backends de modelos em cloud e locais, o que significa que bloquear um provedor de modelo não o detém.

O comportamento nos logs tem um formato reconhecível. A execução vem em rajadas de 2 a 25 segundos. Em um caso, depois que um erro indicou que um script era grande demais, o ferramental se adaptou e fez o deploy de uma instância com 17 snapshots em cerca de dez segundos. No Azure, rodou uma varredura de validação em dry run por onze tipos de recurso em oito segundos. Em outro ponto, enumerou mais de 110.000 objetos do Active Directory a partir de um domain controller. O Google também cita a Wiz Research em uma campanha em que os atacantes foram de uma primeira conta comprometida a acesso profundo ao sistema em cerca de quatro horas, e em um caso em 15 minutos.

Duas ressalvas mantêm isso na proporção certa. São investigações selecionadas, não uma medida de quantos atacantes usam agentes. E vários desses frameworks e campanhas já haviam sido reportados antes; o que é novo é a evidência consolidada do Google sobre como eles se comportam dentro de ambientes reais.

A janela, em uma escala só

Tempo do atacante contra uma cadeia de resposta típica

SegundosDias

1. 23 segundos27 sondagens de permissão em uma rajada, segundo o GTIG
2. Cerca de 10 segundosO ferramental se adapta a um erro e faz novo deploy
3. 15 minutosDo primeiro acesso à conta ao acesso profundo, o caso mais rápido citado (Wiz Research)
4. Cerca de 4 horasDo primeiro acesso à conta ao acesso profundo, o típico naquela campanha
5. Próximo dia útilOnde a triagem de alertas e a contenção por ticket costumam parar

Argumentamos em outubro que os primeiros sistemas a falhar na adoção de agentes são os dimensionados para o ritmo humano. Aquilo era sobre os agentes da própria empresa sobrecarregando filas de revisão e pipelines de merge. A mesma aritmética agora vale contra a defesa. Um processo de resposta que precisa de uma pessoa para ler um alerta, abrir um ticket e pedir aprovação antes de revogar uma credencial foi desenhado para um adversário que também precisa de café.

O que ainda funciona na velocidade da máquina

As recomendações da Mandiant estão organizadas em cinco camadas, e todas compartilham uma propriedade: quase nenhuma delas depende de um humano decidir no momento.

Proteja o plano de controle. APIs de admin, consoles, sistemas de CI/CD, provedores de identidade, infraestrutura de backup e autoridades certificadoras devem ser acessíveis apenas a partir de redes confiáveis. Um agente não consegue abusar de uma interface de gestão que não alcança.

Restrinja identidades e chaves. Credenciais de workload de curta duração e nenhum segredo de longa duração. Uma chave roubada que expira em uma hora limita a execução; uma que nunca expira é a execução.

Endureça configurações e reduza caminhos de ataque. Varredura contínua de aplicações e infraestrutura, porque o agente vai encontrar a configuração incorreta mais rápido que a revisão trimestral.

Proteja as aplicações do abuso de recursos legítimos. Em um caso, os atacantes forçaram o envio de e-mails de notificação de teste para mais de 1.300 usuários internos por meio de um recurso comum da aplicação.

Detecte mudança comportamental e volumétrica. É aqui que a velocidade vira vantagem do defensor. 27 verificações de permissão em 23 segundos, varreduras de deploys em dry run, rajadas de chamadas de API a partir de uma única identidade: esses padrões são raros no trabalho humano legítimo. Velocidade de identidade e taxa de rajada de API são sinais que merecem alerta.

O que decidir antes do próximo incidente

A consequência prática é sobre autoridade, não sobre ferramental. Ações de contenção que podem ser automatizadas com segurança (suspender uma sessão, revogar um token, isolar um workload) deveriam ser pré-autorizadas para padrões definidos, para que a resposta não espere por uma cadeia de aprovação. A mesma disciplina vale para a infraestrutura de IA da própria organização: gateways de IA e servidores MCP guardam as chaves de tudo que os agentes tocam, e eles pertencem ao plano de controle que a Mandiant manda isolar.

No início deste mês, a Anthropic mostrou modelos construindo cadeias de exploit completas em ambientes de pesquisa. O relatório do Google mostra o lado operacional já em campo. Nenhum dos dois significa que todo atacante é autônomo. Os dois significam que o plano de resposta deveria assumir que o próximo pode ser.