Carteiras de criptomoedas em risco à medida que Moltbook, uma rede viral de bots de IA, expõe grandes ameaças de segurança

Uma plataforma de mídia social onde robôs conversam entre si em vez de pessoas chamou a atenção online na semana passada, mas especialistas em segurança dizem que a verdadeira história é o que eles encontraram por baixo.

Moltbook fez manchetes como um lugar onde bots de inteligência artificial postam conteúdo enquanto as pessoas apenas assistem. Os posts ficaram estranhos rapidamente. Agentes de IA pareciam começar suas próprias religiões, escrever mensagens irritadas sobre humanos e se unir como seitas online. Mas as pessoas que estudam segurança de computadores dizem que todo esse comportamento estranho é apenas um show lateral.

O que descobriram foi mais preocupante. Bancos de dados abertos cheios de senhas e endereços de e-mail, software prejudicial se espalhando e uma prévia de como as redes de agentes de IA podem dar errado.

Algumas das conversas mais estranhas no site, como agentes de IA planejando eliminar a humanidade, acabaram sendo principalmente falsas.

George Chalhoub, que leciona no UCL Interaction Centre, disse à Fortune que Moltbook apresenta alguns perigos muito reais. Os atacantes poderiam usar a plataforma como um campo de teste para software malicioso, golpes, notícias falsas ou truques que assumem o controle de outros agentes antes de atingir redes maiores.

“Se 770 mil agentes em um clone do Reddit podem criar tanto caos, o que acontece quando sistemas agentes gerenciam infraestrutura empresarial ou transações financeiras? Vale a pena a atenção como um aviso, não como uma celebração”, disse Chalhoub.

Pesquisadores de segurança dizem que o OpenClaw, o software de agente de IA que executa muitos bots no Moltbook, já tem problemas com software prejudicial. Um relatório da OpenSourceMalware encontrou 14 ferramentas falsas carregadas em seu site ClawHub em apenas alguns dias. Essas ferramentas afirmavam ajudar no comércio de criptomoedas, mas na verdade infectavam computadores. Uma até chegou à página principal do ClawHub, enganando usuários comuns para que copiassem um comando que baixava scripts projetados para roubar seus dados ou carteiras de criptomoedas.

O que é injeção de prompt e por que é tão perigoso para agentes de IA?

O maior perigo é algo chamado injeção de prompt, um tipo conhecido de ataque onde instruções ruins são escondidas no conteúdo alimentado a um agente de IA.

Simon Willison, um conhecido pesquisador de segurança, alertou sobre três coisas acontecendo ao mesmo tempo. Os usuários estão permitindo que esses agentes vejam e-mails e dados privados, conectando-os a conteúdo duvidoso da internet e permitindo que enviem mensagens. Um único prompt ruim poderia dizer a um agente para roubar informações confidenciais, esvaziar carteiras de criptomoedas ou espalhar software prejudicial sem que o usuário saiba.

Charlie Eriksen, que faz pesquisa de segurança na Aikido Security, vê o Moltbook como um alarme precoce para o mundo mais amplo dos agentes de IA. “Acho que o Moltbook já fez impacto no mundo. Um chamado de atenção de muitas maneiras. O progresso tecnológico está acelerando a um ritmo, e está bastante claro que o mundo mudou de uma maneira que ainda não está totalmente clara. E precisamos nos concentrar em mitigar esses riscos o mais cedo possível”, disse ele.

Então, há apenas agentes de IA no Moltbook, ou pessoas reais estão envolvidas? Apesar de toda a atenção, a empresa de cibersegurança Wiz descobriu que os 1,5 milhão de chamados agentes independentes do Moltbook não eram o que pareciam. Sua investigação mostrou apenas 17.000 pessoas reais por trás dessas contas, sem maneira de distinguir a IA real de scripts simples.

Gal Nagli, da Wiz, disse que poderia registrar um milhão de agentes em minutos quando testou. Ele disse: “Ninguém está verificando o que é real e o que não é.”

A Wiz também encontrou uma grande falha de segurança no Moltbook. O banco de dados principal estava completamente aberto. Qualquer um que encontrasse uma chave no código do site poderia ler e alterar quase tudo. Essa chave dava acesso a cerca de 1,5 milhão de senhas de bots, dezenas de milhares de endereços de e-mail e mensagens privadas. Um atacante poderia se passar por agentes de IA populares, roubar dados de usuários e reescrever posts sem nem fazer login.

Nagli disse que o problema veio de algo chamado vibe coding. O que é vibe coding? É quando uma pessoa diz à IA para escrever código usando linguagem cotidiana.

O interruptor de desligamento de agentes de IA expira em dois anos

A situação ecoa o que aconteceu em 2 de novembro de 1988, quando o estudante de pós-graduação Robert Morris lançou um programa de auto-cópia na internet primitiva. Em 24 horas, seu worm havia infectado cerca de 10% de todos os computadores conectados. Morris queria medir o tamanho da internet, mas um erro de codificação fez com que se espalhasse rápido demais.

A versão de hoje pode ser o que os pesquisadores chamam de worms de prompt, instruções que se copiam através de redes de agentes de IA conversando.

Pesquisadores do Simula Research Laboratory encontraram 506 posts no Moltbook, 2,6% do que analisaram, contendo ataques ocultos. Pesquisadores da Cisco documentaram um programa prejudicial chamado “What Would Elon Do?” que roubava dados e os enviava para servidores externos. O programa estava classificado em primeiro lugar no repositório.

Em março de 2024, os pesquisadores de segurança Ben Nassi, Stav Cohen e Ron Bitton publicaram um artigo mostrando como prompts de auto-cópia poderiam se espalhar por assistentes de e-mail de IA, roubando dados e enviando spam. Eles o chamaram de Morris-II, após o worm original de 1988.

No momento, empresas como Anthropic e OpenAI controlam um interruptor de desligamento que poderia parar agentes de IA prejudiciais porque o OpenClaw roda principalmente em seus serviços. Mas os modelos de IA locais estão melhorando. Programas como Mistral, DeepSeek e Qwen continuam melhorando. Dentro de um ou dois anos, executar um agente capaz em computadores pessoais pode ser possível. Nesse ponto, não haverá provedor para desligar as coisas.