Assistentes de código com IA como porta do ransomware: proteja o MCP

Como o atacante entrou? A CloudSEK relata que a maioria das intrusões começou com segredos roubados de pipelines de build de software, incluindo variáveis de pipeline do GitLab e credenciais esquecidas no histórico de repositórios. Uma única instância do GitLab comprometida deu acesso a duas organizações sem relação entre si. O assistente de IA foi o canal de controle. O segredo do pipeline foi a chave.

Os incidentes descritos na pesquisa mostram até onde uma única credencial exposta pode chegar:

• Em um provedor de serviços de software, os atacantes alcançaram mais de 150 bancos de dados, gateways de pagamento e centenas de repositórios, afetando mais de uma dúzia de empresas clientes.
• Em um ataque a um serviço de imagens médicas com IA, um endereço web processado sem validação permitiu chegar a serviços internos, descriptografar credenciais armazenadas e recuperar um token de bypass de autenticação do histórico do repositório. Mais de 6 TB de dados foram roubados.
• Em outra vítima, o atacante parou o banco de dados em produção e apagou dados, destruindo mais de 120.000 registros de um cadastro financeiro.

Azazel então publicou os dados roubados por meio de sua própria operação de vazamento e, segundo o relatório, ficou com o dinheiro da extorsão em vez de dividi-lo com o operador do Gentlemen. É um lembrete de que o modelo de afiliados continua gerando operadores independentes e motivados.

O problema estrutural é conhecido. As equipes de desenvolvimento andam rápido, os segredos acabam em variáveis de pipeline e em commits antigos, e o sistema de build se torna uma identidade privilegiada com pouca supervisão. Some-se a isso um agente de IA capaz de executar comandos, e o raio de impacto aumenta.

O que uma empresa deve fazer hoje? As defesas abaixo seguem as recomendações da pesquisa e as práticas usuais de zero trust.

1. Tire os segredos dos pipelines e repositórios. Guarde-os em um cofre de credenciais dedicado, gire qualquer token que possa ter sido exposto e audite o histórico dos repositórios em busca de credenciais vazadas.

2. Restrinja o MCP. Limite os serviços MCP ao acesso local, nunca exponha suas portas à internet e registre toda execução privilegiada de ferramentas. Os logs da CloudSEK mostraram varreduras mundiais de portas MCP expostas, então presuma que as suas serão sondadas.

3. Faça um inventário das suas ferramentas de IA. Liste quais assistentes, plugins e servidores MCP os desenvolvedores instalaram, o que eles podem executar e quais credenciais herdam. Remova o que ninguém consegue justificar.

4. Separe as chaves da configuração. Não guarde chaves de criptografia junto dos dados ou da configuração que elas protegem e limite as permissões de armazenamento ao que cada serviço precisa.

5. Teste backups isolados da produção. O caso do banco de dados apagado mostra que uma cópia isolada e restaurada regularmente decide se um incidente é uma interrupção ou uma catástrofe.

6. Monitore os sinais certos. Crie alertas para leituras incomuns de variáveis de pipeline, atividade inesperada de tokens de contas de serviço e transferências em massa a partir do armazenamento. Valide o conteúdo enviado e restrinja a execução de comandos de banco de dados nas aplicações, em vez de confiar apenas em extensões de arquivo.

Uma abordagem de zero trust combina bem com esse problema, porque presume que qualquer credencial, humana ou de máquina, pode ser roubada e limita o que ela alcança. Organizações sem equipe para operar isso 24 horas podem contar com serviços gerenciados de TI para higiene de segredos, aplicação de patches e validação de backups.

Por que investir antes de um incidente? Porque o perfil de custos desse ataque é desigual. O atacante precisa de uma única variável vazada. A vítima precisa limpar bancos de dados, repositórios, notificações a clientes e, em alguns dos casos acima, dados que não podem ser recuperados.

Tratar pipelines e ferramentas de IA como ativos de produção traz retornos práticos:

• Menor raio de impacto. Credenciais de curta duração e escopo limitado fazem um token roubado abrir uma porta, e não o prédio inteiro.
• Detecção mais rápida. Quando a atividade de pipelines e MCP chega a um SIEM, uma reverse shell registrada como ferramenta vira um alerta, e não uma surpresa.
• Adoção segura de IA. As equipes de segurança podem dizer sim aos assistentes de código com IA porque os controles existem, em vez de bloqueá-los e empurrar o uso para a sombra.
• Confiança na cadeia de suprimentos. No caso do provedor de serviços, uma dúzia de empresas clientes foi afetada por uma única violação. Clientes e auditores perguntam cada vez mais como os fornecedores protegem seus sistemas de build.
• Capacidade de recuperação. Backups testados e isolados evitam que um ataque destrutivo se torne uma perda permanente.

Nada disso exige abandonar as ferramentas de IA. Exige dar a elas a mesma identidade, o mesmo registro e a mesma revisão que qualquer sistema privilegiado recebe.

A HIT Communications apoia empresas há mais de 30 anos na América Latina, nos Estados Unidos e na Europa. Nossos serviços de cibersegurança combinam monitoramento SOC 24/7, SIEM e detecção e resposta gerenciadas (MDR), para que atividades incomuns em pipelines, credenciais e ferramentas de IA sejam investigadas por pessoas que as acompanham todos os dias.

Nossa equipe de serviços gerenciados de TI ajuda os clientes a inventariar seus ambientes, girar e custodiar segredos, validar backups e manter os patches em dia. Se seus desenvolvedores estão adotando assistentes de código com IA e você não tem certeza do que eles podem executar ou de quais credenciais possuem, podemos ajudar a mapear isso e colocar controles ao redor, sem atrasar as entregas.

A campanha de Azazel mostra que um assistente de código com IA pode virar um controle remoto para ransomware quando o atacante possui um segredo de pipeline válido. A resposta não é proibir as ferramentas. É custodiar os segredos, restringir e registrar o MCP, monitorar os sistemas de build e manter backups isolados e testados.

Se hoje você não consegue dizer quais ferramentas de IA rodam no seu ambiente, quais segredos estão nos seus pipelines ou quem os vigia 24 horas por dia, este é o momento de descobrir. Fale com a HIT Communications e agende uma conversa com nossa equipe para revisar sua exposição e sua abordagem de detecção e resposta.