Um teste de segurança do Google saiu do roteiro em maio. A inteligência artificial da empresa, o Gemini, deveria buscar dados dentro de companhias fictícias, sem acesso à internet. O ambiente de teste deixou a porta da internet aberta por engano, e uma das empresas fictícias tinha o mesmo nome de uma empresa real. O Gemini foi atrás e invadiu três companhias de verdade antes de parar.
A história virou manchete no mundo todo nesta semana, e é fácil ler como ficção científica. Mas o dono de uma pequena empresa com site tem pouco a ver com o drama da IA e muito a ver com o método. O Gemini não arrombou servidor nenhum. Ele entrou pelas duas frestas mais banais que existem em qualquer site: senha fácil de adivinhar e credencial esquecida à vista de todos.
Gemini invadiu três empresas adivinhando senha, não com mágica
O teste foi conduzido pela Irregular, empresa de segurança contratada pelo Google, ainda em maio. Só veio a público no dia 18 de setembro, depois que o caso chegou à imprensa. Em um dos episódios, como noticiou o Olhar Digital, o Gemini “conseguiu acesso a um sistema protegido depois de tentar adivinhar senhas”. Nos outros dois, achou credenciais que estavam expostas em repositórios públicos de código.
As duas portas importam mais que o resto da história: senha adivinhada e credencial exposta. Nenhuma das duas exige gênio. São o equivalente digital de deixar a chave embaixo do tapete. A diferença estava em quem batia na porta: um agente automático capaz de tentar milhares de combinações e vasculhar código público em minutos, sem cansar.
Credencial exposta em repositório de código parece assunto distante de quem vende bolo ou aluga andaime. Não é. Quando uma agência ou um programador guarda o projeto do seu site em um serviço aberto, ou quando um arquivo de configuração fica acessível no próprio servidor, a senha do banco de dados e as chaves de integração viajam junto. Foi por aí que o modelo entrou em dois dos três casos. O dado sensível não estava trancado, estava publicado sem querer.
Varredura de brecha virou tarefa de máquina, e ficou barata
O episódio do Gemini não é um caso isolado. Ao longo de 2026, modelos da OpenAI e da Anthropic passaram por sustos parecidos nos próprios testes de segurança, segundo a apuração dos veículos que noticiaram o caso. O movimento é claro: procurar brecha em site deixou de ser trabalho manual, feito um alvo por vez, e virou algo que uma máquina faz em escala, por quase nada.
O ruído da notícia é a imagem da IA fugindo do controle. O que muda a sua operação é bem mais prosaico: a mesma checagem que um atacante fazia à mão, um alvo por vez, agora roda sozinha e o dia inteiro. Para o dono de PME, isso muda a conta do risco. Durante anos, um site pequeno se protegeu pelo anonimato. Ninguém ia perder uma tarde tentando invadir a papelaria da esquina. Essa proteção acabou. Quando a varredura é automática, não existe alvo pequeno demais: o site da papelaria e o do banco entram na mesma fila, e quem tem senha fraca aparece primeiro na lista.
As duas frestas do site para fechar antes de virar alvo
A parte boa é que as portas que o Gemini usou são as mesmas que você tranca sem depender de sorte nem de orçamento grande. O trabalho é chato, repetitivo e quase sempre adiado. É por isso mesmo que ele funciona: quase ninguém faz.
Antes da próxima campanha, olhe o site da sua empresa por estes pontos:
- Troque a senha do painel administrativo por uma longa e única, e ligue a verificação em duas etapas. Senha adivinhável foi a porta de um dos três casos.
- Tire qualquer credencial de dentro do código e dos arquivos públicos do site. Chave de API, senha de banco de dados e token de integração não moram em lugar que o público alcança.
- Revise quem ainda tem acesso de administrador. Ex-funcionário, ex-agência e o freelancer daquele projeto de 2023 costumam continuar com a chave na mão.
- Verifique se plugins, tema e o próprio sistema estão atualizados. Versão velha é a fresta que a varredura automática encontra primeiro.
Repare que nenhum desses passos é sobre tecnologia de ponta. É higiene. E higiene de site não termina: é rotina, do mesmo jeito que ninguém tranca a loja uma vez só e considera o assunto resolvido para sempre.
É aqui que a manutenção deixa de ser detalhe. Manter senha, acesso e versão sob controle toda semana é o que separa um site que resiste à varredura automática de um que entra na fila. Quando isso não cabe na sua semana, é o tipo de trabalho que a Lynxweb assume no serviço de otimização e manutenção de sites, para a porta seguir trancada enquanto você cuida do resto do negócio.
