Hunt.io Liga LLMs Agênticos a Campanha Contra Entidades Governamentais, Mas Atribuição Permanece Incerta

Em julho de 2026, a Hunt.io publicou uma análise de uma campanha de ciberespionagem suspeita de origem chinesa. Os investigadores encontraram um diretório aberto em um servidor em um cluster de infraestrutura em Hong Kong, contendo 2.431 arquivos, como código-fonte de vítimas, registros de operação, web shells e scripts de exploração. Inusualmente, os registros revelaram sessões persistentes do Claude Code 2.1.165 de 8 a 12 de junho de 2026, com o Claude Code lidando com tarefas agênticas e comandos de shell, enquanto o DeepSeek-v4-pro era usado para raciocínio e refinamento de scripts. No entanto, a Hunt.io alerta que isso não implica os fornecedores de modelos, e os dados públicos não permitem atribuição confiável a um grupo específico; a avaliação de origem chinesa é baseada em idioma, infraestrutura e alvos, classificada como moderadamente provável. A campanha usou múltiplos vetores de acesso inicial, incluindo injeção de SQL contra uma empresa química taiwanesa e um serviço estatal tailandês, e expôs segredos em arquivos JavaScript de um fabricante de equipamentos de telecomunicações taiwanês. Os atacantes também prepararam páginas de phishing, incluindo clones de páginas de login do WordPress para entidades dos EUA. A Hunt.io enfatiza que, embora essas ferramentas de IA aumentem o ritmo operacional, elas não mudam os problemas fundamentais de superfície de ataque, como diretórios abertos, chaves vazadas e injeção de SQL. O relatório também traça paralelos com a divulgação de novembro de 2025 da Anthropic sobre a campanha GTG-1002, mas observa que vincular ambas ao mesmo ator não é suportado por evidências.