Um modelo chinês de peso aberto obteve uma pontuação perfeita em um benchmark profissional de hacking de IA – e a execução completa custou menos do que um sanduíche. De acordo com a Enclave, uma empresa de segurança de IA que executa o benchmark, o Flash V4.1 do DeepSeek obteve execução de código em todos os 11 alvos vulneráveis, deixando todos os quatro alvos de controle corrigidos seguros. As corridas aceitas custam US$ 4,65 no total.
O resultado, publicado pelo cofundador e diretor de produtos da Enclave, Yanir Tsarimi, na terça-feira, levou a empresa a auditar cada comando e solicitar a fabricação do modelo. Essa análise confirmou seis explorações que seguiram os caminhos de ataque pretendidos – e descobriu cinco rotas adicionais bem-sucedidas que a pontuação original do benchmark não distinguiu das soluções planejadas. Para mais contexto sobre esta história, confira nossa cobertura da indústria de IA.
Muito trabalho por cinco dólares
A escala da atividade por trás da partitura é impressionante. Trabalhando em cópias isoladas de Grafana, Jenkins e Nextcloud, o modelo leu o código-fonte, comparou versões vulneráveis e corrigidas, iniciou serviços e disparou solicitações de teste, mudando de tática sempre que uma tentativa falhava.
Em todo o benchmark, o DeepSeek V4.1 Flash executou 2.349 comandos Bash e registrou cerca de duas horas e 38 minutos de tempo de modelo ativo, informou o Enclave. A corrida média bem-sucedida durou quatro minutos e 38 segundos. O provedor do modelo relatou 268,3 milhões de tokens de entrada e cerca de dois milhões de tokens de saída – mas como 266,2 milhões desses tokens de entrada foram servidos a partir do cache com taxas de desconto, as execuções aceitas chegaram a apenas US$ 4,65. Tentativas fracassadas elevaram o custo total para US$ 5,14.
Esse perfil de custo é a história dentro da história. O hacking agente neste nível de capacidade era, até recentemente, o domínio dos modelos com preços de fronteira. Uma estimativa quase perfeita do preço de um café sugere que o custo marginal dos testes automatizados de segurança ofensivos – ou ataques automatizados – está em colapso.
Grafana caiu em menos de 90 segundos
O desafio Grafana teve como alvo uma falha no processo de instalação do plugin, onde o ataque pretendido usou um problema de manipulação de caminho de arquivo para colocar o código em um local protegido. A modelo encontrou algo mais rápido. Ele colocou os arquivos executáveis em uma pasta temporária de plugins e instruiu o Grafana a carregar essa pasta como um plugin normal, que executou o código e retornou a prova de exploração.
DeepSeek repetiu esse método em todas as três execuções do Grafana, terminando em 52, 64 e 90 segundos. O sistema de pontuação original, que verificava apenas se o alvo executava o comando de prova, aceitava todas as execuções. A auditoria posterior do Enclave – que também examinou como o modelo atingiu a execução do código – mostrou que todos os três usaram a mesma rota alternativa, em vez daquela que o desafio foi projetado para medir. O alvo de controle corrigido permaneceu seguro o tempo todo.
Jenkins desenhou o trabalho mais forte do modelo
Os desafios de Jenkins produziram o que a Enclave chamou de melhores soluções do modelo. No primeiro, DeepSeek descobriu que um usuário de baixo privilégio poderia criar um arquivo de configuração apontando Jenkins para um segundo arquivo. O primeiro arquivo passou na verificação de segurança do servidor; a segunda foi lida fora desse limite, permitindo que o modelo extraísse uma credencial de controlador privado. Em seguida, ele fez login com a credencial, abriu o console de script integrado do Jenkins e executou um comando no servidor – a cadeia de ataque completa, concluída em todas as três execuções.
O segundo desafio Jenkins testou uma condição de corrida durante uploads de arquivos, exigindo que o modelo iniciasse um upload, pausasse-o após um único byte, redirecionasse seu destino com uma segunda solicitação e continuasse exatamente no momento certo. DeepSeek conseguiu essa sequência precisa em uma única execução, fazendo com que Jenkins escrevesse um script em um local protegido onde uma compilação normal o executasse posteriormente. Suas outras duas execuções usaram rotas de link de arquivo mais curtas que evitaram totalmente o truque do tempo.
Por que a auditoria é tão importante quanto a pontuação
Para o Enclave, as rotas inesperadas eram o ponto principal. Um benchmark que avalia apenas os resultados – o alvo executou o comando de prova – não pode diferenciar uma exploração de livro didático de um atalho não intencional, e ambos contam da mesma forma em um placar. A empresa diz que o episódio mostra por que os benchmarks avançados de agentes precisam verificar o caminho do ataque, bem como o resultado, e agora distingue as soluções planejadas das improvisadas.
Essa distinção tem peso prático. Para os defensores, um modelo que encontra rotas que não foram catalogadas é um modelo de ameaça mais realista do que aquele que reproduz técnicas conhecidas. Para os operadores do índice de referência, caminhos alternativos não auditados teriam aumentado silenciosamente a dificuldade dos desafios.
Contexto: um modelo barato e rápido com dentes
DeepSeek V4.1 Flash é o lançamento com velocidade otimizada da empresa, posicionado agressivamente no preço, e o resultado do Enclave é um ponto de dados em um padrão mais amplo: modelos de peso aberto de laboratórios chineses continuam igualando ou superando modelos de fronteira fechada em tarefas de agente, ao mesmo tempo que custa uma fração mais. As versões anteriores do DeepSeek superaram as avaliações de codificação e uso de ferramentas, e a capacidade de segurança tende a rastrear as habilidades gerais do agente.
As implicações da dupla utilização são desconfortáveis. As mesmas características que tornam um modelo barato útil para testadores de penetração – persistência, fluência da ferramenta e disposição para tentar muitas rotas de ataque – se aplicam quando a intenção do operador é maliciosa. O benchmark do Enclave é executado em cópias isoladas de software real, mas as técnicas que o modelo demonstrou, desde cadeias de extração de credenciais até condições de corrida de upload, visam vulnerabilidades que existem hoje nas implantações de produção de Grafana e Jenkins.
A Enclave publicou o detalhamento completo de todos os onze ataques bem-sucedidos em seu relatório, incluindo as cinco rotas que sua pontuação original errou.
---
Fique à Frente da IAAs últimas notícias, análises e avanços em inteligência artificial — tudo em um só lugar.
Ler mais notícias de IA →
