Google encontrou acesso ilícito a modelos com desconto de 97%

Em 2026, o Google Threat Intelligence Group encontrou vendedores na dark web oferecendo acesso a modelos do Google, OpenAI e Anthropic com descontos de até 97%. Dentro do mercado ilícito, os três laboratórios rivais se tornaram intercambiáveis. Uma credencial funcional permitia a seu detentor consumir inferência escassa até que a conta fosse revogada.

O lançamento, em 2024, do Model Context Protocol pela Anthropic conectou assistentes a fontes de dados. Em 2026, o Google havia conectado agentes de IA a chamadas telefônicas, dispositivos domésticos e serviços empresariais, enquanto a OpenAI havia lançado um produto de gestão de agentes com limites de permissão. Esses sistemas passaram de responder a prompts para delegar ações entre sistemas. Cada ação adicionada exigia que alguém concedesse, monitorasse e retirasse mais uma permissão.

Um login roubado transforma inferência em um ativo ao portador

Pesquisadores de segurança também alertaram que ataques de “LLM-jacking” contra os caros recursos de IA das empresas estavam aumentando.

Uma credencial funcional permite ao vendedor revender inferência sem possuir um modelo nem alugar uma GPU. A credencial confere autoridade de gasto até que o provedor, o cliente ou um intermediário detecte o uso indevido e a encerre. Essa estrutura transforma uma assinatura, chave de API ou conta de serviço em um ativo temporário ao portador.

O desconto revela mais do que roubo. Vendedores na dark web podem colocar serviços de modelos concorrentes na mesma vitrine porque o acesso comprometido torna a diferenciação entre provedores secundária em relação ao direito disponível. Um comprador em busca de inferência barata pode aceitar qualquer conta que ainda funcione, porque a credencial comprometida já pagou o custo de integração.

Isso é arbitragem de acesso à IA: o cliente legítimo adquire acesso nos termos do provedor, um atacante transfere o benefício prático, e o mercado ilícito se equilibra a um preço desvinculado da tarifa publicada. O Google Threat Intelligence Group não estabeleceu se o provedor ou o cliente absorve, em última instância, cada cobrança não autorizada. O grupo estabeleceu que o revendedor pode capturar valor enquanto transfere os custos de detecção, investigação e remediação para outros.

Vendedores na dark web já conectam Google, OpenAI e Anthropic em um mercado confirmado de acesso ilícito. As empresas ainda não confirmaram duas conexões reportadas por meio de padrões de segurança relacionados. Vendedores criminosos alcançaram interoperabilidade prática antes que os provedores estabelecessem um regime comum de controles confirmado. Um incidente de controle de acesso na Hugging Face relacionado mostrou o mesmo problema subjacente em um hub de modelos, onde a autoridade vinculada a uma conta importava tanto quanto o software armazenado.

O Google está delegando autoridade mais rápido do que o login consegue descrevê-la

A exposição do Google agora vai além do consumo da API Gemini. A empresa está testando o Call for Me, que permite ao Gemini telefonar para empresas em nome de um usuário. O Google inicialmente limitou o teste a usuários do Pixel 11 nos EUA com uma assinatura Gemini. O agente obtém informações enquanto representa o usuário diante de outra parte.

O Google Home leva a delegação para um ambiente físico. Sua integração com MCP permite que agentes de terceiros analisem dados da residência, controlem dispositivos e criem dashboards para usuários Premium Advanced nos EUA. O Google também anunciou uma Gemini Enterprise Agent Platform no Vertex AI para gerir o ciclo de vida de frotas de agentes.

Esses produtos criam diferentes principais com diferentes autoridades. Uma pessoa é dona da conta. Um agente atua sob instruções delegadas. Um dispositivo expõe estado e aceita comandos. Um serviço de terceiros fornece contexto ou executa uma tarefa. O Google precisa preservar a cadeia entre eles quando uma solicitação cruza fronteiras entre produtos; autenticar o humano no início não especifica o que cada máquina posterior pode fazer.

As informações disponíveis sobre o Google Home não documentam o escopo exato das credenciais, quais agentes podem controlar quais dispositivos, se a aprovação está vinculada a cada ação ou persiste entre sessões, nem a rapidez com que os usuários podem revogar o acesso. Também não estabelecem regras de auditoria, atestação, confirmação, resposta a incidentes ou responsabilidade por uma ação equivocada. O Google pode ter esses controles, mas as evidências públicas ainda não permitem julgar sua maturidade.

O Call for Me apresenta uma versão mais restrita do mesmo problema de design. O Google precisa distinguir a intenção do usuário da execução pelo agente e, depois, restringir o agente à chamada comercial solicitada. Uma permissão no nível da conta, como “usar o Gemini”, diz pouco demais quando o Gemini pode representar o usuário, obter informações e interagir com serviços externos.

GPUs escassas ampliam o raio de impacto de uma credencial comprometida

A Epoch AI estimou que o Google controla cerca de 25% da capacidade global de computação para IA, incluindo aproximadamente 3,8 milhões de TPUs e 1,3 milhão de GPUs. A OpenAI disse ter contratado 10GW de capacidade de computação para IA nos EUA e adicionado mais de 3GW nos 90 dias anteriores. Sob seu acordo com a AWS, a OpenAI disse que usaria centenas de milhares de GPUs Nvidia nos EUA.

Outros compradores estão assumindo compromissos igualmente concretos em escala menor. A Recursive Superintelligence assinou um acordo plurianual de computação com a AWS, no valor de $410 million, após levantar $650 million em maio. Esses contratos alocam capacidade a clientes identificados, mas não podem determinar se cada solicitação aceita vem da pessoa, aplicação ou agente pretendido.

Startups menores de IA têm enfrentado dificuldades para obter GPUs Nvidia, à medida que grandes provedores de nuvem direcionam a oferta para equipes internas e grandes clientes. Os acordos de capacidade da OpenAI e essas restrições de oferta descartam a conclusão fácil de que a identidade substituiu hardware, qualidade do modelo, distribuição, dados proprietários ou economia de nuvem como fosso competitivo.

Quando a computação é escassa, uma credencial roubada pode expor capacidade reservada que outra empresa gastou muito para garantir. A cadeia física de suprimentos pode colocar uma GPU no data center correto e atribuí-la à conta comercial correta, enquanto a solicitação lógica ainda vem do agente errado.

Direitos comprometidos transformam a cadeia de custódia da computação em um problema de identidade. Fabricantes de chips estabelecem a procedência do hardware. Nuvens alocam máquinas. Provedores de modelos medem a inferência. Clientes delegam acesso a aplicações e agentes. Cada participante pode concluir corretamente sua própria etapa enquanto um direito comprometido corrompe a alocação final. O ciclo de financiamento dos laboratórios de fronteira pode garantir mais capacidade sem garantir o direito de consumi-la.

Permissões de agentes precisam expirar na velocidade da tarefa

A atualização de julho do Agentic AI Foundation para o MCP introduziu uma arquitetura totalmente sem estado, um modelo de autenticação reforçado e uma política formal de descontinuação de 12 meses. Os responsáveis pelo protocolo fizeram da autenticação uma preocupação arquitetural central porque uma conexão de agente pode combinar recuperação de contexto com execução de ferramentas. Uma decisão de autenticação pode, portanto, autorizar mais do que a leitura de dados.

Pesquisadores que examinaram o servidor MCP oficial do GitHub descobriram que atacantes podiam induzir um agente LLM a vazar informações privadas sobre o usuário do MCP. O agente mantinha acesso legítimo; o atacante redirecionava a forma como ele usava esse acesso. Autenticar o agente não garantia que seu comportamento permanecesse alinhado à tarefa pretendida pelo usuário.

Um plano de controle em produção precisa dar a cada agente de máquina uma identidade distinta, vinculá-lo a um principal identificado, limitar recursos e ações a uma tarefa específica, impor limites de tempo e gasto, registrar o comportamento e propagar a revogação por cada modelo e ferramenta conectados. Um provedor que revoga apenas a sessão humana oferece pouco conforto se um token delegado continua funcionando em outro lugar.

Desenvolvedores já estão montando partes dessa camada. O Frontier da OpenAI oferece contexto compartilhado, integração de usuários e limites de permissão a um conjunto limitado de clientes. A plataforma empresarial do Google gerencia frotas de agentes ao longo de seu ciclo de vida. A Oak saiu do modo stealth com uma rodada seed de $60 million para criar gestão de identidade e acesso nativa para IA. Ninguém precisou coordenar esses produtos. Agentes que carregam autoridade entre sistemas tornaram racional que cada desenvolvedor enfrentasse o mesmo problema de controle.

Operadores precisam monitorar sistemas de agentes de outra forma. A pontuação de avaliação de um modelo mede sua capacidade sob condições de teste. Um sistema de autorização precisa avaliar a conduta durante a implantação: qual agente invocou qual ferramenta, sob qual concessão, contra qual recurso e se essa sequência ainda corresponde à tarefa aprovada. Os operadores precisam saber tanto se o modelo pode agir quanto se ele ainda tem permissão para isso.

O plano de controle valioso conquista confiança ao dizer não

A Okta reportou receita de $805 million no segundo trimestre fiscal, alta de 11% em relação ao ano anterior, e lucro líquido de $116 million, alta de 73%. A empresa também citou a crescente demanda por segurança de identidade para IA. Mais tarde, a Okta concordou em adquirir a startup de identidade para IA Permiso em uma transação supostamente avaliada em pouco menos de $200 million.

A Okta mostra como categorias existentes podem convergir em torno da aplicação de controles. Provedores de modelos podem medir tokens e restringir ferramentas. Plataformas de nuvem podem conectar identidade a faturamento e capacidade. Fornecedores de identidade podem acompanhar principais em múltiplas nuvens e modelos. Gateways podem inspecionar solicitações na fronteira. Os clientes precisam que as quatro funções concordem sobre se uma ação específica continua autorizada.

Um plano de controle integrado pode acumular custos de troca quando clientes codificam nele papéis de agentes, políticas de aprovação, linhas de base comportamentais, históricos de incidentes e procedimentos de revogação. O operador também desenvolve vantagens de processo à medida que cada anomalia melhora a detecção e cada incidente testa a resposta. A vantagem vem de servir como o sistema de registro confiável para direitos e risco.

Provedores de modelos ainda competem em qualidade, distribuição, dados proprietários e economia de nuvem, apesar do desconto de 97%. Os resultados trimestrais da Okta não estabelecem que um fornecedor independente de identidade dominará essa camada. OpenAI, Anthropic, AWS, Microsoft e mais de 100 outras empresas alertaram para uma janela limitada de preparação contra ciberataques habilitados por IA, mas esse alerta não determina qual participante capturará a economia.

Quando clientes podem transitar entre modelos e agentes podem cruzar fronteiras entre ferramentas, nenhum provedor isolado enxerga toda a cadeia de autorização. O desconto de 97% precifica esse ponto cego. O privilégio duradouro pertence ao operador que consegue revogar um direito comprometido em modelos, ferramentas, dispositivos e nuvens antes que o próximo token, chamada telefônica ou ação física seja autorizado.