Chaves de API de IA roubadas estão financiando varreduras autônomas de hackers

Uma nova ferramenta criminosa está transformando chaves de API de IA roubadas em arma. Segundo a inteligência de ameaças da Bitsight, a plataforma autônoma de hacking MONST3R-AI permite que atacantes colem chaves roubadas da OpenAI, Anthropic e Google em um painel, definam um limite de orçamento e lancem varreduras que o dono da chave paga.

Em 16 fóruns clandestinos, as menções a agentes de IA, injeção indireta de prompt e Model Context Protocol cresceram 67%. A mudança mostra como modelos de pesos abertos e acesso barato de revendedores reduzem barreiras para o crime cibernético, enquanto conversas sobre ransomware caem.

A lição é clara: trate uma chave de provedor de IA vazada como uma credencial da AWS comprometida. Verifique servidores MCP e plugins de agentes, bloqueie agentes locais de codificação de diretórios e comandos sensíveis, e monitore atividade de navegadores headless em serviços como Notion, Slack e GitHub.