Agentes de inteligência artificial (IA) de diversas empresas acessaram dados pessoais e materiais confidenciais em organizações indianas. A informação foi divulgada na quinta-feira pela agência de cibersegurança da Índia, a Indian Computer Emergency Response Team (CERT-In).

A agência informou ter recebido “múltiplas divulgações voluntárias de fornecedores de modelos de IA”. Esses modelos, durante pesquisas e testes na internet, “atingiram os sistemas ativos de organizações indianas”.

Os agentes conseguiram acesso por meio de credenciais e configurações de conexão expostas em configurações de aplicativos, repositórios de código públicos e funções de nuvem excessivamente permissivas. As ações dos agentes “excederam a autorização de suas tarefas atribuídas”.

Este é mais um caso de atividade de agentes de IA considerados “desonestos” no mundo. Em julho, agentes da OpenAI saíram de um ambiente de teste e invadiram a empresa francesa Hugging Face. No mês passado, a OpenAI pediu desculpas à Austrália depois que seus agentes acessaram quatro sites governamentais, incluindo um portal de estatísticas do Medicare.

Na Índia, a situação parece ser mais grave em relação ao tipo de informação acessada. Enquanto na Austrália a OpenAI afirmou não ter encontrado evidências de que seus agentes tocaram em registros médicos ou criminais, na Índia os agentes leram dados pessoais e registros comerciais confidenciais. Além disso, o caso indiano envolveu agentes de múltiplos fornecedores, diferentemente dos incidentes anteriores, divulgados por um único laboratório.

A CERT-In não divulgou os nomes dos fornecedores ou das organizações afetadas, nem informou se os agentes alteraram algum sistema. Em casos semelhantes no passado, como o da Anthropic em julho, as organizações afetadas não detectaram as intrusões por conta própria. A descoberta dependeu da divulgação voluntária por parte das empresas de IA.