Roubo de inferências de IA: como hackers lucram às custas da Vercel com proxies residenciais

Roubo de inferência é o furto de chamadas de IA caras para revenda. Os atacantes pegam tokens de startups, embrulham em uma API própria e revendem como alternativa barata à OpenAI ou à Anthropic. A Vercel publicou um relatório detalhado sobre um ataque aos seus endpoints de IA, que mostra a economia por trás dos roubos e por que as defesas web padrão são totalmente ineficazes.

Por que as chamadas de IA são tão caras

Uma requisição HTTP comum custa cerca de $2 por milhão de requisições, quase de graça. Mas uma única requisição a um modelo de fronteira (GPT-5.5, Claude 3.5 Sonnet) pode custar $1-2. É um milhão de vezes mais que um endpoint padrão. Para os atacantes, a economia é ideal: roubar uma chamada de $2 e revendê-la por $1,50 é lucro puro, sem nenhum custo marginal de inferência.

Como funciona o roubo: a arquitetura do ataque

Os atacantes criam um adaptador, uma camada de software que transforma o endpoint de outra pessoa em uma API compatível com a OpenAI. A vítima paga pela inferência; o atacante não paga nada. O processo é assim:

• Registram milhares de contas descartáveis na vítima
• Compram IPs de proxies residenciais em atacado (milhares de endereços)
• Embrulham a API roubada em um adaptador
• Oferecem à sua própria base de clientes ou revendem no mercado negro
• Lucram com a diferença entre o preço roubado e o preço de revenda

Um exemplo real é o Chipotlai Max, um fork de agente de programação que transforma o chatbot de suporte da Chipotle em um endpoint compatível com a OpenAI. O projeto procura abertamente desenvolvedores para fazer o mesmo com Home Depot, Lowe's, Target e Starbucks.

Por que rate limits e autenticação não funcionam

Rate limits e autenticação foram projetados para proteger contra força bruta de senhas e DDoS. Nesses casos, a conta é que roubar um milhão de senhas custa mais do que protegê-las. Com o roubo de inferência, a matemática é inversa. Os atacantes simplesmente compram IPs de proxies residenciais individualmente, centenas e milhares de endereços. Um rate limit verificado uma vez por sessão se dilui entre mil chamadas roubadas, em vez de valer para cada requisição. Uma conta com aparência real passa pela autenticação. Quando a requisição chega à sua API, ela já cruzou a fronteira que você pretendia proteger.

O ataque real à Vercel

Em 12 de abril de 2026, o tráfego do chat de IA na documentação da Vercel cresceu 10 vezes. No pico, foram 1,300 requisições por minuto ao Claude Haiku 4.5. Isso correspondia a um run rate de $10,000 de prejuízo por hora. Os atacantes usaram proxies residenciais e contas novas para diluir os rate limits.

Como a Vercel se defende

A Vercel passa cada requisição de IA pelo BotID, uma análise profunda que roda não uma vez por sessão, mas a cada requisição individual. Em vez de verificar no início, a checagem vale para cada byte de dados. Dá para implementar isso nos seus próprios endpoints: algumas linhas de código bloqueiam tentativas automatizadas de roubo.

O que isso significa

Se você tem um endpoint de IA público (playground, suporte, IA de documentos), rate limits e autenticação já não protegem. A defesa precisa rodar no nível da requisição, não da sessão. Para startups com acesso aberto, isso é crítico: um único ataque sério pode custar dezenas de milhares de dólares em prejuízo.