Chaves de API de IA roubadas pagam scans automáticos de ataque
A Bitsight encontrou à venda num fórum criminoso uma ferramenta de ataque autônoma que roda com chaves roubadas da OpenAI, da Anthropic e do Google, de modo que o dono da chave paga pelos scans.
Fonte: Stolen AI API keys are paying for hackers' autonomous scans (helpnetsecurity.com). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
Segundo a Help Net Security, a Bitsight acompanhou 16 fóruns de fevereiro a agosto de 2026 e viu as menções a agentes de IA, injeção indireta de prompt e MCP crescerem 67%. A ferramenta, chamada MONST3R-AI, recebe as chaves roubadas, um teto de gasto e uma lista de alvos. Os pesquisadores também citam cerca de 7.600 repositórios falsos no GitHub, mais de 800 disfarçados de skills ou servidores MCP.
A recomendação é procurar chaves de provedores de IA expostas e tratá-las com o mesmo rigor de uma credencial de nuvem, conferir a origem de cada servidor MCP e plugin de agente e impedir que agentes locais acessem pastas sensíveis ou rodem comandos sem aprovação. Limites de gasto e alertas de uso fora do padrão ajudam a notar o abuso cedo.
Como a consultoria pode ajudar
A Wendelmaques pode procurar chaves de IA expostas no código e nos pipelines, organizar a troca periódica delas com limites de gasto e alertas e revisar quais servidores MCP e plugins a equipe usa. O escopo é definido conforme o ambiente.
Próximo passo
Se a sua empresa usa APIs de IA, envie uma descrição curta de como as chaves são guardadas e receba uma proposta escopada.
Vamos avaliar seu projeto
Respondo com escopo e proposta.