Hackers supostamente ligados ao Cazaquistão usaram um agente de inteligência artificial para apoiar operações de espionagem contra governos da Ásia Central, incluindo o roubo de documentos confidenciais e a infiltração em redes de infraestrutura crítica, segundo uma nova pesquisa.
A operação foi descoberta pela CloudSEK, empresa de cibersegurança sediada em Singapura, após a companhia encontrar um servidor exposto atribuído ao Silent Lynx, grupo anteriormente associado a campanhas de espionagem contra Quirguistão, Turcomenistão, Tajiquistão, Armênia, Belarus e Rússia.
O servidor continha mais de uma dezena de gigabytes de dados, entre eles documentos governamentais roubados, ferramentas de hacking e registros que mostram como um operador usou um agente de IA para automatizar partes da operação. Em um relatório publicado em 11.11.2026, a CloudSEK informou que o operador utilizou o Hermes, um agente de IA de código aberto configurado para atuar como um especialista em cibersegurança ofensiva. O sistema usava principalmente modelos de IA desenvolvidos pela empresa chinesa DeepSeek. Diferentemente dos chatbots convencionais, agentes de IA conseguem executar comandos, rodar software e realizar tarefas em nome de seus usuários.
Segundo os pesquisadores, o agente auxiliou no reconhecimento, na coleta de dados e na remoção de rastros de atividade dos sistemas comprometidos. Ele também estava configurado para executar determinados comandos potencialmente destrutivos sem exigir aprovação adicional. O operador se comunicava com o agente em russo e o conectou a um bot do Telegram, o que permitia emitir instruções remotamente a partir de um celular.
Redes governamentais comprometidas
Uma das intrusões mais significativas do grupo teve como alvo o Tajiquistão, onde os hackers mantiveram amplo acesso à rede ferroviária nacional de pelo menos meados de agosto até o início de outubro. Depois de invadir a rede, os atacantes acessaram vários servidores, extraíram bancos de dados com credenciais de login e roubaram documentos internos e relatórios operacionais.
O acesso foi muito além da ferrovia. Usando as credenciais de um único funcionário ferroviário, os atacantes entraram na plataforma nacional de gestão eletrônica de documentos do Tajiquistão, que ministérios e órgãos do governo utilizam para trocar correspondência oficial. O grupo desenvolveu ferramentas automatizadas para baixar grandes quantidades de arquivos, incluindo milhares de documentos enviados ao Ministério da Defesa do Tajiquistão ou processados por ele em 2026.
O material roubado também incluía correspondência associada à Guarda Nacional, ao Comitê Estatal de Segurança Nacional e ao Comitê Estatal de Investimentos, além de informações sobre mais de 100 organizações governamentais e seus funcionários.
A CloudSEK também encontrou evidências de que o grupo havia comprometido um servidor que dava suporte à iniciativa Smart Forestry do Uzbequistão, uma plataforma governamental usada para monitorar e gerenciar recursos florestais.
Além disso, o servidor exposto continha arquivos maliciosos disfarçados de documentos oficiais do Turcomenistão, incluindo uma passagem de trem e um relatório de um governo regional. Os arquivos foram criados e testados em outubro, o que sugere que o grupo estava preparando outra campanha de phishing. Os pesquisadores não determinaram se os ataques contra o Turcomenistão chegaram a ter êxito.
A CloudSEK avaliou com confiança média que o Silent Lynx tem ligações com o Cazaquistão, citando comunicações em russo e conexões de teste originadas de um provedor de internet residencial do país. Essas descobertas corroboram avaliações anteriores de pesquisadores de cibersegurança que apontavam o grupo como provavelmente sediado no Cazaquistão, embora não estabeleçam qualquer conexão com o governo cazaque.
O Silent Lynx, também rastreado sob os nomes Cavalry Werewolf e YoroTrooper, está ativo desde pelo menos 2022 e já teve como alvo agências governamentais, organizações diplomáticas e outras instituições na Ásia Central, na Rússia e na Europa. Em outubro de 2025, o grupo lançou uma campanha de ciberespionagem de vários meses contra agências do governo russo e empresas industriais, usando e-mails de phishing disfarçados de correspondência do governo quirguís.