Atacante deixou o agente de IA Hermes rodando sem supervisão dentro da rede do Ministério das Finanças da Tailândia
Um invasor instalou o assistente open source Hermes, da Nous Research, em um servidor alugado, desativou as confirmações de segurança do modo "YOLO" e o apontou para a rede do Ministério das Finanças da Tailândia. Operando de forma autônoma, o agente varreu hosts em busca de escalonamento de privilégio, vasculhou sistemas de arquivos e ajudou a implantar backdoors, em um caso raro de pós-exploração conduzida majoritariamente por um agente de IA sem intervenção humana constante.
Hermes é um assistente de IA de código aberto pensado para tarefas de produtividade, como gerenciar correspondência via Telegram ou Slack. O operador malicioso ativou o modo YOLO da ferramenta, que remove as confirmações de permissão antes de executar comandos potencialmente perigosos — um recurso cuja própria documentação alerta para uso restrito a ambientes de sandbox controlados, e que aqui foi aplicado diretamente contra a infraestrutura de produção de um órgão público responsável por tesouro e arrecadação de impostos.
Com a supervisão humana removida, o agente passou a atuar de forma encadeada: rodou verificações de vulnerabilidades no kernel Linux, executou o LinPEAS para localizar caminhos de escalonamento de privilégio, fez buscas recursivas por documentos sensíveis (incluindo avaliações de desempenho e registros de pessoal desde 2012) e explorou a autenticação padrão desabilitada do Apache Hive para carregar uma função Java maliciosa via HiveServer2. Também foram observadas tentativas de uso de credenciais padrão contra um servidor GlassFish e a implantação de um backdoor compilado em Go chamado Hades, capaz de rodar em Windows e Linux.
O episódio só veio à tona porque os logs de operação do agente ficaram expostos em um servidor com listagem de diretório habilitada, encontrados por pesquisadores da Hunt.io. Isso significa que o incidente foi descoberto por acaso, não por detecção ativa da vítima — um lembrete de que agentes autônomos operando sem trilhas de auditoria adequadas podem passar despercebidos por semanas.
O caso é significativo porque desloca o “hacker com agente de IA” de uma preocupação teórica para um padrão observável de pós-exploração real: em vez de o atacante digitar cada comando manualmente, ele delega o reconhecimento, a busca por privilégio e parte da implantação de ferramentas a um agente que executa continuamente, reduzindo o esforço humano necessário para comprometer uma rede inteira e tornando a defesa baseada apenas em volume de comandos digitados por sessão humana cada vez menos confiável.