23.000 hosts ativos, 130 países: hackers sequestram modelos de IA de código aberto 

Cerca de 175.000 servidores privados estão supostamente expostos à internet pública, dando aos hackers a oportunidade de realizar suas atividades ilícitas. 

O problema foi relatado pelos pesquisadores de segurança SentinelOne e Censys, que rastrearam 7,23 milhões de observações em mais de 300 dias. 

Hackers exploram configuração do Ollama

Um recente relatório da SentinelOne e Censys descobriu que mais de 175.000 servidores de IA privados estão acidentalmente expostos à internet. Esses sistemas usam o Ollama, um software de código aberto que permite às pessoas executar modelos de IA poderosos, como o Llama da Meta ou o Gemma do Google, em seus próprios computadores, em vez de usar um site como o ChatGPT. 

Por padrão, o Ollama só se comunica com o computador no qual está instalado. No entanto, um usuário pode alterar as configurações para facilitar o acesso remoto, o que pode expor acidentalmente todo o sistema à internet pública.

Eles rastrearam 7,23 milhões de observações ao longo de quase 300 dias e descobriram que, embora muitos desses “hosts” de IA sejam temporários, cerca de 23.000 deles permanecem online quase o tempo todo. Esses sistemas “sempre ativos” são alvos perfeitos para hackers, pois fornecem hardware gratuito e poderoso que não é monitorado por nenhuma grande empresa de tecnologia.

Nos Estados Unidos, cerca de 18% desses sistemas expostos estão na Virgínia, provavelmente devido à alta densidade de data centers ali. A China tem 30% dos hosts localizados em Pequim. 

Surpreendentemente, 56% de todos esses sistemas de IA expostos estão rodando em conexões de internet domésticas ou residenciais. Este é um grande problema, pois os hackers podem usar esses endereços IP residenciais para esconder sua identidade. 

Quando um hacker envia uma mensagem maliciosa por meio da IA doméstica de alguém, parece estar vindo de uma pessoa comum, em vez de uma botnet criminosa.

Como os criminosos estão usando esses sistemas de IA sequestrados?

De acordo com a Pillar Security, uma nova rede criminosa conhecida como Operação Bizarre Bazaar está ativamente caçando esses endpoints de IA expostos. Eles procuram sistemas que rodam na porta padrão 11434 e que não exigem senha. Uma vez que encontram um, eles roubam o “poder de computação” e o vendem a outros que desejam executar tarefas de IA por baixo custo, como gerar milhares de e-mails de phishing ou criar conteúdo deepfake.

Entre outubro de 2025 e janeiro de 2026, a empresa de segurança GreyNoise registrou mais de 91.403 sessões de ataque direcionadas a essas configurações de IA. Eles encontraram dois tipos principais de ataques. 

• O primeiro usa uma técnica chamada Server-Side Request Forgery (SSRF) para forçar a IA a se conectar aos próprios servidores do hacker. 
• O segundo é uma campanha massiva de “varredura”, na qual os hackers enviam milhares de perguntas simples para descobrir exatamente qual modelo de IA está sendo executado e o que ele é capaz de fazer.

Cerca de 48% desses sistemas estão configurados para “tool-calling” (chamada de ferramentas). Isso significa que a IA é permitida interagir com outro software, pesquisar na web ou ler arquivos no computador. 

Se um hacker encontrar um sistema assim, ele pode usar “prompt injection” para enganar a IA. Em vez de pedir um poema, ele pode dizer à IA para “listar todas as chaves de API no código” ou “resumir os arquivos do projeto secreto”. Como não há ninguém vigiando, a IA frequentemente obedece a esses comandos.

O Relatório de Cibersegurança 2026 da Check Point mostra que os ataques cibernéticos totais aumentaram 70% entre 2023 e 2025. Em novembro de 2025, a Anthropic relatou o primeiro caso documentado de uma campanha de espionagem cibernética orquestrada por IA, na qual um grupo patrocinado pelo Estado usou agentes de IA para realizar 80% de um hack sem ajuda humana.

Vulnerabilidades recentes, como CVE-2025-1975 e CVE-2025-66959, foram descobertas apenas neste mês. São falhas que permitem aos hackers derrubar um servidor Ollama enviando-lhe um arquivo de modelo especialmente elaborado. 

Como 72% desses hosts usam o mesmo formato de arquivo específico chamado Q4_K_M, um único ataque bem-sucedido poderia derrubar milhares de sistemas de uma vez.