Agentes de IA na linha de frente do cibercrime: o que a regulação brasileira tem a dizer

Em uma única semana de outubro, agentes de inteligência artificial deixaram de ser promessa de produtividade para aparecer, documentados, na cena do crime. A pergunta que fica para empresas brasileiras não é se a regra existe, mas se ela está sendo cumprida na velocidade que o novo ataque exige.

Entre 13 e 22 de outubro de 2026, quatro notícias se encontraram. A Microsoft atribuiu a um grupo alinhado ao Estado chinês uma campanha conduzida com um framework de invasão movido por IA agêntica. A empresa de segurança Straiker expôs um grupo criminoso ligado ao México que usou Claude, Grok e modelos da Kimi para mirar mais de 400 alvos financeiros na América Latina. O PHP, linguagem que sustenta a maior parte da web, publicou correção de emergência para duas falhas críticas apelidadas de PHP2Shell. Grandes bancos americanos passaram a bloquear agentes de IA externos nas contas de clientes. E, no Brasil, a Anatel e tribunais federais tiraram sistemas do ar por precaução.

Uma lista com 27 incidentes das "últimas 48 horas" viralizou nas redes e ajudou a amplificar o clima de alarme. Nem todos os itens foram verificados por esta reportagem, e alguns misturam fatos de datas diferentes. Mas o núcleo é sólido, está documentado por fontes primárias e aponta para o mesmo lugar: o tempo entre escolher um alvo e tomar o controle dele encolheu de semanas para horas. Para o Direito brasileiro, isso desloca o debate da existência de normas para a capacidade de cumpri-las em tempo útil.

O que aconteceu, e o que é exagero

Quatro episódios têm lastro em fontes primárias. Os detalhes mais dramáticos que circularam nas redes nem sempre resistem à checagem.

Data	Caso	O que está confirmado	O que não se confirmou
21 out.	PHP2Shell	Duas falhas de execução remota de código (CVE-2026-109618 e CVE-2026-109619), nota 9,2 no CVSS 4.0, corrigidas nas versões 8.2 a 8.5. Uma única requisição sem autenticação basta. A Amazon registrou tentativa de exploração em 17 de outubro, quatro dias antes da divulgação. O NCSC britânico recomendou tirar do ar o que não puder ser corrigido.	Os números de "milhões" de tentativas atribuídos ao CEO da Cloudflare não apareceram nas fontes consultadas. Já a retirada preventiva de serviços de governo do ar está confirmada na França e na Holanda, onde saiu do ar até o DigiD, e chegou ao Brasil.
21 out.	CyberCartel / CARLIY0S	Grupo ligado ao México montou um enxame de agentes: Claude como comandante, cinco instâncias de Grok coletando segredos, modelos Kimi como reserva. Mais de 400 alvos financeiros. Para driblar as travas, os pedidos eram apresentados como teste de segurança autorizado ou competição acadêmica. Painel com 2.911 e-mails, 903 números de conta (CLABE), 391 chaves de API. A Anthropic revogou a credencial usada; a xAI investiga.	O relatório não menciona vítimas no Brasil; o foco documentado é o sistema de pagamentos mexicano (SPEI).
21 out.	Storm-0940 / ARTEX	A Microsoft atribuiu a um ator alinhado ao Estado chinês o uso do ARTEX, framework aberto de invasão com múltiplos agentes, contra centenas de organizações. Via comprometimento da ConnectWise (cadeia de fornecimento), atingiu mais de 2.250 ambientes de nuvem. Em alguns casos, menos de 3 horas entre o alvo e o acesso privilegiado.	A Microsoft não nomeia países vítimas. A Zscaler documentou uso separado do ARTEX contra bancos sul-coreanos, com 67 mil registros pessoais vazados.
13 a 20 out.	Bancos x agentes de IA	JPMorgan bloqueia agentes externos de operar contas de varejo (só leitura; sem pagar ou transferir). Jamie Dimon falou em "agentes desgarrados, talvez milhares". Citi e Bank of America também restringiram o acesso.	A notícia atribuída à Axios, de agentes agindo "independentemente das instruções do usuário" dentro de contas, não foi localizada em fonte primária; a OCDE classificou o caso como risco, não como dano consumado.

O ponto comum não é uma nova categoria de crime. Invasão, fraude e vazamento continuam sendo o que sempre foram. O que mudou é quem executa o trabalho braçal: agentes que planejam, testam e exploram sem pausa, e que podem ser convencidos de que estão fazendo algo legítimo.

No Brasil: Anatel e Justiça Federal desligam sistemas

O PHP2Shell foi o primeiro episódio da semana a ter efeito concreto no Brasil. Em 21 de outubro, o CTIR Gov, centro de resposta a incidentes do Gabinete de Segurança Institucional, recomendou a órgãos públicos atualizar imediatamente o PHP e, se não fosse possível, avaliar a suspensão do acesso externo às aplicações vulneráveis. No mesmo dia, ao menos quatro instituições federais tiraram sistemas do ar.

Órgão	Medida adotada em 21 out. 2026
Anatel	Suspendeu o acesso externo ao SEI. Disse que a falha não é do SEI, mas da linguagem sobre a qual ele roda.
TRF4 (RS, SC e PR)	Cortou o acesso externo aos sistemas a partir das 11h; funcionam apenas na rede interna. Orientou outros tribunais a fazer o mesmo.
TRF1	Seguiu a orientação do TRF4 e suspendeu o acesso externo ao SEI, sem previsão de retorno.
TRF6 (MG)	Suspendeu o expediente e os prazos processuais em toda a Justiça Federal mineira, por ato do presidente do tribunal, após instabilidades no eproc, no SEI, no portal e na intranet.

Não há, até agora, confirmação de invasão nesses órgãos. As medidas foram preventivas, e é exatamente isso que as torna relevantes do ponto de vista jurídico.

Há uma ironia no caso. Segundo a imprensa internacional, as falhas foram encontradas com ajuda de IA: a empresa Calif usou um modelo da OpenAI numa auditoria do código do PHP, e a Wiz, do Google, chegou a elas semanas depois com ferramentas próprias. A divulgação, porém, vazou um dia antes da correção. A mesma tecnologia que acelera o ataque acelerou a descoberta, mas a janela entre a descoberta e o patch continua sendo humana.

Três leituras regulatórias se destacam:

Desligar é uma decisão de governança, não só de TI. O alerta do CTIR Gov e a recomendação do NCSC britânico apontam na mesma direção. Num eventual processo na ANPD ou num questionamento do TCU, a pergunta será quanto tempo o órgão levou entre o alerta e a correção, e se registrou a decisão.
O setor público também responde pela LGPD. O SEI e o eproc guardam dados pessoais de partes, servidores e cidadãos. Os arts. 46 e 49 valem para o poder público, e a Política Nacional de Cibersegurança (Decreto nº 11.856/2023) ainda depende de uma lei que dê dentes à coordenação federal.
Para a Advocacia, o impacto é imediato nos prazos. A Lei nº 11.419/2006 (art. 10, § 2º) e o CPC (art. 224, § 1º) prorrogam o prazo quando o sistema do Judiciário fica indisponível. Ainda assim, cada tribunal regula a indisponibilidade de um jeito, e a suspensão do TRF6 por ato próprio dá mais segurança do que a mera queda do sistema. O recomendável é guardar o ato e a certidão de indisponibilidade de cada prazo afetado.

A mudança de escala: o relógio do ataque encolheu

O dado mais importante da semana é um número de tempo, não de vítimas: menos de 3 horas entre escolher o alvo e obter acesso de administrador, segundo a Microsoft. No mesmo caso, as tentativas de login chegaram a 2.900 por minuto, sem pausa para dormir.

Três características explicam o salto:

Paralelismo. O agente tenta vários caminhos de invasão ao mesmo tempo e registra o que aprendeu num mapa de ativos e falhas.
Persistência. Ele não se cansa; repete, ajusta e volta a tentar 24 horas por dia.
Engenharia social contra a própria máquina. No caso CyberCartel, as travas dos modelos foram contornadas com um pretexto simples: "é um teste de segurança autorizado". Quando um modelo recusava, o orquestrador trocava de fornecedor.

Do outro lado, os prazos de defesa continuam medidos em dias. O PHP2Shell foi explorado antes de existir correção pública, e a janela entre o anúncio e a aplicação do patch é justamente onde o agente automatizado ganha vantagem. É nessa assimetria que o Direito precisa entrar.

O ângulo regulatório no Brasil: a regra existe, o prazo é que ficou velho

O Brasil não tem uma lei específica para agentes de IA, mas não está desarmado. Os casos da semana caem, quase todos, em normas já vigentes. O problema é que foram desenhadas para um atacante humano, com ritmo humano.

Norma	O que exige	Como os casos da semana a testam
LGPD, arts. 46, 48 e 49	Medidas de segurança técnicas e administrativas compatíveis com o estado da técnica; comunicação de incidente relevante à ANPD e aos titulares.	Um servidor PHP sem patch depois de 21 de outubro dificilmente passa no teste do "estado da técnica". A falha deixou de ser imprevisível no dia em que a correção foi publicada.
Res. CD/ANPD nº 15/2024	Comunicação do incidente em até 3 dias úteis da ciência, com registro interno por 5 anos.	Um agente que chega ao administrador em 3 horas exige detecção em horas, sob pena de a empresa sequer saber que tem algo a comunicar.
Lei nº 15.352/2026	Transformou a ANPD em agência reguladora, com carreira própria de regulação e fiscalização.	Mais estrutura para fiscalizar; sanções da LGPD chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração.
Res. CMN nº 5.274/2025 e Res. BCB nº 538/2025	Alteraram a Res. CMN nº 4.893/2021: controles mínimos obrigatórios, MFA, isolamento de ambientes, monitoramento de credenciais privilegiadas, segurança de APIs e teste de intrusão anual. Prazo de adequação: 1º de março de 2026.	O caso ConnectWise é exatamente o cenário de terceiro comprometido que a norma quis cobrir. O enxame do CyberCartel colecionava chaves de API e credenciais de portal.
Res. BCB nº 498/2025	Credenciamento de prestadores de TI (PSTI) que conectam instituições à RSFN, com auditoria externa anual e reporte de incidentes.	Nasceu da lição do ataque à C&M Software em 2025: o elo fraco é o fornecedor.
CDC e Súmula 479 do STJ	Responsabilidade objetiva do banco por fraudes de terceiros (fortuito interno).	Se um agente externo movimentar dinheiro do cliente, a tendência é o banco responder. Isso ajuda a explicar a pressa em bloquear agentes.
Código Penal, arts. 154-A e 171, § 2º-A	Invasão de dispositivo informático e fraude eletrônica.	A tipificação funciona; a dificuldade é a autoria, quando o executor é um enxame de agentes operado do exterior.

O elo que falta é o PL nº 2.338/2023, o Marco Legal da IA. Aprovado no Senado em dezembro de 2024, está na Câmara sob relatoria do deputado Aguinaldo Ribeiro, com votação empurrada para depois das eleições. O texto do Senado prevê gestão de risco, comunicação de incidentes graves e coordenação do sistema regulatório pela ANPD. Não trata, porém, de forma expressa de agentes autônomos, nem da responsabilidade de quem fornece um modelo que foi convencido a atacar.

Há ainda uma lacuna prática que nenhuma norma resolve sozinha: o agente de IA é uma identidade não humana. A regulação bancária já fala em gestão de identidades e credenciais privilegiadas, mas a maioria das empresas ainda não sabe quantos agentes, chaves e integrações têm acesso aos seus sistemas.

Lá fora: prazos em horas e o fornecedor do modelo no radar

A comparação internacional mostra uma tendência clara: os reguladores estão encurtando o relógio de resposta e olhando para a cadeia de fornecedores.

União Europeia, AI Act. As obrigações dos modelos de propósito geral seguem valendo; os de risco sistêmico devem avaliar e mitigar riscos, inclusive de cibersegurança, e reportar incidentes graves. O Omnibus Digital, em vigor desde 27 de julho de 2026, adiou para dezembro de 2027 as regras dos sistemas de alto risco do Anexo III.
União Europeia, NIS2 e DORA. Alerta inicial de incidente significativo em 24 horas, e, no setor financeiro, gestão contratual e supervisão de fornecedores críticos de tecnologia.
Estados Unidos. Na ausência de lei federal de IA, a resposta veio do mercado: bancos fecharam a porta aos agentes externos. Companhias abertas seguem obrigadas a divulgar incidentes materiais à SEC em 4 dias úteis.
Reino Unido. No PHP2Shell, o NCSC recomendou desligar sistemas que não pudessem ser corrigidos de imediato, um sinal de que "aguardar a janela de manutenção" deixou de ser resposta aceitável.

O caso CyberCartel também ilustra um modelo de autorregulação que antecede a lei: a Anthropic revogou a credencial do grupo e a xAI abriu investigação. É remédio a posteriori. A pergunta regulatória que vem a seguir é se os fornecedores de modelos terão dever legal de detectar e reportar esse uso, e em quanto tempo.

O que empresas e conselhos devem fazer agora

A resposta jurídica a ataques em velocidade de máquina começa antes do incidente. Cinco frentes concentram o risco regulatório e a responsabilidade dos administradores:

Corrigir o que já tem correção. Atualizar o PHP para as versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e documentar a data. Sistemas sem patch possível devem sair do ar ou ficar atrás de proteção específica. O registro dessa decisão é a melhor defesa perante a ANPD.
Inventariar identidades não humanas. Listar agentes de IA, chaves de API, aplicativos de terceiros com acesso à nuvem e integrações OAuth. O que não está no inventário não pode ser monitorado nem revogado.
Revisar contratos com fornecedores de tecnologia e de IA. Incluir dever de notificação de incidente em horas, direito de auditoria, limites de permissão e cláusula sobre uso de agentes autônomos em nome da empresa.
Ajustar o plano de resposta a incidentes ao novo relógio. O prazo de 3 dias úteis da ANPD conta da ciência; a governança precisa garantir que a ciência chegue em horas, com preservação de evidências e registros para a investigação.
Levar o tema ao conselho. Com a Res. CMN nº 5.274/2025, a segurança cibernética virou responsabilidade da alta administração no setor financeiro. Fora dele, o dever de diligência dos administradores aponta na mesma direção.

A lição da semana é menos tecnológica do que parece. As normas brasileiras já pedem segurança compatível com o estado da técnica. O estado da técnica, agora, inclui atacantes que não dormem.