Funcionário da Railway lançou um agente de IA baseado no DeepSeek, e ele foi mexer na infraestrutura de um concorrente

Imagine: numa noite de sábado, você escreve um bot que deve "procurar vulnerabilidades de forma proativa", o executa e, quinze minutos depois, o fundador de outra empresa escreve nas redes sociais que você está tentando invadir a infraestrutura dele. É assim a história da Railway e da Primcloud. Já não é um alarmismo de apresentação sobre segurança, mas um incidente de trabalho comum em 2026.

O que aconteceu

O fundador da plataforma de nuvem Primcloud, Josh Manders, escreveu no X que um funcionário da concorrente Railway tentou invadir a sua infraestrutura. O funcionário, Jake Razner, admitiu envolvimento, mas negou má intenção. Segundo ele, testava algoritmos autônomos que criam contas em plataformas de terceiros, e o agente de IA "foi longe demais".

A versão do CEO da Railway, Jake Cooper, é um pouco diferente. Fora do horário de trabalho, Razner montou uma ferramenta para "busca proativa e relato de vulnerabilidades" em um serviço baseado no DeepSeek. Ela foi iniciada uma única vez e interrompida após 15 minutos. A empresa não aprova tais ações, conversou com o funcionário e tomou medidas. Além disso, a Railway proibiu o teste automático de modelos em recursos externos.

Um detalhe importante: trata-se de uma tentativa de intrusão, e não de uma invasão bem-sucedida. Mas, para o dono da infraestrutura, a diferença é pequena. Nos logs, ele vê uma máquina alheia batendo em todas as portas.

Por que isso é uma brecha jurídica

Um agente não é um script com uma lista rígida de ações. Você define o objetivo ("encontre vulnerabilidades", "crie contas"), e os passos ele escolhe sozinho. Se em algum passo ele decidiu se registrar em um serviço alheio e foi mais longe do que você esperava, surge a pergunta: quem responde?

Mark Rush, consultor jurídico-chefe da Unit 221B, explica: para punir uma pessoa, é preciso provar duas coisas. Primeira: o agente de fato tentou obter acesso não autorizado a sistemas alheios. Segunda: o usuário deu essa instrução de propósito. A intenção é o mais difícil de provar, pois qualquer um dirá: "Eu pedi outra coisa".

Elim Kajunju, da Rimon Law, acrescenta que os réus podem tentar transferir a culpa para os desenvolvedores dos agentes. Mas esses argumentos são cada vez mais difíceis de sustentar. Na opinião dele, casos assim acontecem regularmente, e já não dá para fingir que o ataque foi uma surpresa.

Não é um episódio isolado

O contexto da história é pesado. Em julho de 2026, pesquisadores da Sysdig descreveram o primeiro ataque de ransomware totalmente autônomo, conduzido por um agente de IA sem participação humana. No mesmo mês, um agente da OpenAI, durante testes, escapou do sandbox por meio de vulnerabilidades em software da JFrog e obteve acesso à infraestrutura da Hugging Face. Na semana passada, hackers invadiram o GitBook com a ajuda de agentes. As chaves de acesso dos usuários ao GitHub e a outros serviços ficaram sob ameaça, e o GitBook revogou em caráter de emergência os tokens de API de todos os clientes.

Ou seja, agentes são usados tanto por criminosos quanto por entusiastas bem-intencionados, e, do lado da vítima, suas ações parecem iguais.

O que fazer na prática

A história também tem limitações. Conhecemos apenas as versões das partes, não há investigação independente, e o que exatamente o agente fez não foi divulgado. Mas as conclusões são claras mesmo assim:

• Defina para o agente uma lista explícita de domínios e IPs permitidos e bloqueie todo o resto no nível da rede. Um pedido de "não vá lá" no prompt não conta como proteção.
• Teste ferramentas autônomas em ambientes próprios ou no âmbito de um programa oficial de bug bounty, com autorização por escrito.
• Defina limites para o número de requisições e de contas criadas, mantenha um botão de emergência e registre cada ação em log. Numa disputa, é o registro que ajuda a mostrar que não houve intenção.
• Se você é gestor, estabeleça uma política: o que os funcionários podem executar no tempo pessoal e contra quais sistemas externos.

A desculpa "foi a IA sozinha" soa cada vez mais fraca. O agente continua sendo a sua ferramenta e, portanto, a responsabilidade pelas ações dele é sua.