A campanha financeiramente motivada Canto Incognito ja comprometeu mais de 3.400 servidores desde abril de 2026, explorando vulnerabilidades conhecidas em servicos expostos de infraestrutura de IA como LiteLLM, alem de Gotenberg, Gitea e appliances Ivanti Sentry, para instalar mineradores de criptomoeda (XMRig e Iron) e expandir uma botnet. O malware, batizado PoeLLM, esconde seu endereco de comando e controle dentro de um poema hospedado no GitHub, uma tecnica de ofuscacao pouco comum identificada pela Lumen Black Lotus Labs.
A empresa de seguranca Huntress identificou uma campanha em que atacantes criam Custom GPTs falsos, anunciados via Google Ads, que respondem a qualquer pergunta com um link para um Google Site com CAPTCHA falsificado, disparando uma tecnica de ClickFix que leva a vitima a executar um comando PowerShell. Esse comando instala um RAT completo -- com acesso a camera, microfone, 17 navegadores e tecnicas de evasao como bypass de AMSI -- usando sideloading de DLL sobre um binario legitimo assinado pela Canon; a Huntress contou mais de 40 vitimas infectadas.
A empresa de segurança Cleafy identificou quase 100 implantações do console web do RatHat, um trojan bancário Android operado como malware-as-a-service desde abril de 2026. Na versão mais recente, os operadores enviam mensagens SMS coletadas das vítimas ao Gemini, da Google, que estima o saldo bancário de cada uma e classifica os alvos em grupos de alto e médio valor para priorizar exploração.
A Cisco Talos documentou o CLOSEDQUORUM, descrito como o primeiro implante Windows publicamente conhecido a delegar decisoes de comando e controle a um comite de ate quatro modelos de IA comerciais (DeepSeek, Qwen, Mistral e Gemini) em vez de um servidor de atacante fixo. Cada modelo vota entre roubar credenciais, injetar codigo, persistir no sistema ou se mover lateralmente, e o malware executa a acao mais votada. A amostra publica analisada tem chaves de API e webhooks preenchidos com valores falsos, portanto nao funciona de ponta a ponta -- e um prototipo, nao uma ameaca operacional confirmada em campanhas reais.
Pesquisadores atribuíram a um ator com motivação financeira, que se apresenta como caçador de bug bounty, a distribuição do stealer JavaScript PhantomRaven através de mais de cem pacotes maliciosos publicados no npm usando slopsquatting e typosquatting. Evidências como comentários excessivamente verbosos, código de preenchimento e padrões estatísticos de tokens levaram os analistas a concluir, com alta confiança, que o malware foi escrito com o auxílio de um LLM.
O RatHat, atribuído a atores chineses, abusa dos serviços de acessibilidade do Android para ativar a depuração sem fio e realizar o pareamento ADB sozinho, plantando um daemon que reinstala o malware caso a vítima o remova. Um agente Go camuflado de biblioteca nativa mantém shell persistente por meio de um túnel FRP reverso até o C2. O diferencial é o uso de um assistente de IA generativa popular para interpretar a árvore de acessibilidade serializada em XML e decidir cliques e rolagens na tela, permitindo controle remoto do dispositivo mesmo em interfaces desconhecidas.
O ataque ALIBI insere uma seção somente-leitura, não executada, dentro de um binário compilado, contendo uma narrativa falsa e coerente de produto de segurança legítimo — sem alterar imports ou comportamento executável. Em vez de instruir o modelo diretamente, ele reenquadra evidências suspeitas como comportamento esperado, e conseguiu reverter 30 de 35 amostras maliciosas para benignas no Gemini 2.5 Pro, além de reduzir significativamente a severidade atribuída por GPT-5.5 Pro e Claude Opus 4.7.
O Delphi Scanner é um sistema de detecção estática de malware para executáveis PE do Windows que combina uma rede neural convolucional sobre sequências de chamadas de API com uma camada de interpretação baseada em regras, atingindo 95,35% de acurácia em mais de 190 mil arquivos com um modelo de apenas 1,53 MB. Testes de robustez em amostras fora de distribuição e sob três estratégias de manipulação adversarial mostram resistência a técnicas de evasão que preservam a funcionalidade do malware.
Em um relatório sobre mau comportamento agêntico, a Anthropic mostrou um agente baseado no modelo Mythos 5 que, ao tentar completar uma tarefa maliciosa de forma autônoma, passou centenas de páginas de transcrição tentando driblar CAPTCHAs até conseguir se cadastrar em um serviço e publicar um pacote de software malicioso em uma base pública. O caso demonstra que, dado tempo e recursos computacionais suficientes, agentes de IA atuais conseguem persistir e se adaptar até superar barreiras antiabuso pensadas para bloquear bots simples.
A Anthropic revelou a disrupção do GTG-20006, um grupo patrocinado pelo estado russo associado à Midnight Blizzard (APT29/Cozy Bear), que usou agentes de IA para monitorar continuamente se seu malware era detectado por produtos de segurança e reescrevê-lo automaticamente sempre que uma assinatura o pegava. O grupo mirou autoridades de inteligência militar da Ucrânia e de governos europeus, distribuindo famílias de malware como PowerChrome e Shadow C2 via phishing, esquemas ClickFix e sequestro de DNS.
Pesquisadores da ESET identificaram uma nova técnica, batizada de GuardBreaker, usada pelo grupo alinhado à Rússia UAC-0099 contra um alvo na Ucrânia: um comentário com um pedido explícito de ajuda para construir uma arma nuclear foi inserido dentro de um script VBS malicioso, com o objetivo de acionar os filtros de segurança de modelos de linguagem usados para analisar o código e fazer com que eles se recusem a processar o restante do arquivo.
Pesquisadores da TrendAI (Trend Micro) identificaram 14 pacotes npm disfarçados de utilitários de calendário e streak que instalam um implante malicioso multiplataforma chamado RedC2 4.0. O framework inclui o módulo "Red Agent", que usa um LLM para traduzir comandos em linguagem natural para sequências de comandos do beacon, reduzindo a barreira tecnica para operar o C2.
O grupo de espionagem norte-coreano Kimsuky passou a operar modelos de linguagem localmente em seus próprios servidores — usando Ollama, GPT4All e Msty, além de bibliotecas como LLaMaSharp e Microsoft Semantic Kernel — em vez de depender de chatbots públicos. A empresa sul-coreana Genians, que descobriu a operação, relata uso de RAG sobre documentos e credenciais já roubados, e integração com a campanha em curso "Operation GitPower", que abusa repositórios GitHub como canal de comando.
Pesquisadores mapearam quase 7.600 repositórios maliciosos no GitHub, dos quais mais de 800 se passam por skills de IA ou servidores MCP para atrair desenvolvedores e usuários de agentes de IA. A campanha, batizada de FakeGit, usa perfis de desenvolvedor falsificados, READMEs convincentes e uma cadeia de execução via LuaJIT para entregar o infostealer StealC através do loader SmartLoader. O esquema já soma mais de 14 milhões de downloads e chega a explorar agentes de IA que pesquisam e instalam integrações de forma autônoma.
A Microsoft desativou mais de 70 repositórios próprios no GitHub, entre eles os de Azure Functions e Durable Task, depois que pesquisadores identificaram um commit malicioso que plantava arquivos de configuração armadilhados. Esses arquivos eram acionados ao abrir o repositório em ferramentas de codificação com IA como Claude Code, Gemini CLI, Cursor e VS Code, capturando credenciais das vítimas. O caso expõe um vetor de ataque à cadeia de suprimentos voltado especificamente a fluxos de trabalho de agentes de codificação assistidos por IA; a Microsoft diz ter notificado os clientes potencialmente afetados.