Hack no Lilli da McKinsey expôs 46,5 milhões de mensagens
O hack no Lilli da McKinsey, revelado pela startup de red team CodeWall em 9 de março de 2026, mostrou um agente de IA obtendo acesso total de leitura e escrita à plataforma interna de IA da consultoria em duas horas. A CodeWall diz que o agente alcançou 46,5 milhões de mensagens de chat e 95 prompts de sistema graváveis por uma falha de injeção de SQL. A McKinsey diz que corrigiu os problemas em poucas horas e não achou sinal de acesso a dados de clientes. Para qualquer empresa que opera um assistente de IA interno, o caso mostra que uma falha antiga da web agora pode chegar às instruções do modelo.
Por que o Lilli da McKinsey era um alvo valioso
O Lilli guarda boa parte do que a McKinsey sabe. A consultoria lançou a plataforma de IA generativa em julho de 2023 e, segundo a empresa, 72% dos funcionários, mais de 40.000 pessoas, a usam hoje. O chatbot processa mais de 500.000 prompts por mês.
Os consultores usam o Lilli para consultar a base de conhecimento da firma em linguagem natural. Numa entrevista ao The Stack no início de 2025, Jacky Wright, então diretora de tecnologia e plataformas da McKinsey, disse que a firma havia processado seu conhecimento em bancos vetoriais com modelos de embeddings da OpenAI, com busca semântica e por palavras-chave e o reranker da Cohere para refinar os resultados. A firma diz que o trabalho de consultoria em IA responde por cerca de 40% da receita, e seu CEO disse que a firma construiu 25.000 agentes de IA para apoiar sua força de trabalho.
Como o agente de IA da CodeWall escolheu a McKinsey e entrou
A CodeWall usa agentes de IA para atacar a infraestrutura de seus clientes, para que eles corrijam as fraquezas primeiro. O próprio agente de segurança da empresa sugeriu a McKinsey como alvo, citando a política pública de divulgação responsável da firma, publicada no HackerOne, e atualizações recentes do Lilli. O agente não tinha credenciais.
Ele achou documentação de API exposta publicamente, listando mais de 200 endpoints, 22 dos quais não exigiam autenticação. Um endpoint aberto gravava consultas de busca dos usuários, e as chaves do JSON, os nomes dos campos, eram concatenadas em SQL. Quando o agente viu esses nomes de campo refletidos literalmente nas mensagens de erro do banco, reconheceu uma injeção de SQL que as ferramentas padrão não sinalizariam. A CodeWall diz que então rodou quinze iterações às cegas até dados reais de produção começarem a voltar.
O fundador da CodeWall, Paul Price, disse ao The Stack que a invasão levou duas horas e 20 dólares em tokens. Ele disse ao The Register que o processo foi "totalmente autônomo, da pesquisa do alvo à análise, ao ataque e ao relatório".
O que o agente alcançou dentro do Lilli
A CodeWall diz que em duas horas o agente tinha acesso total de leitura e escrita ao banco de dados de produção. Pela contagem da empresa, isso incluía 46,5 milhões de mensagens de chat sobre estratégia, fusões e aquisições e projetos de clientes, guardadas em texto puro, além de 728.000 arquivos, 57.000 contas de usuário, 384.000 assistentes de IA e 94.000 espaços de trabalho.
Esses são números da CodeWall. O analista de segurança Edward Kiledjian chamou a cadeia de ataque de "plausível e tecnicamente sólida", mas disse que o alcance alegado do impacto "não está totalmente comprovado". Uma fonte da McKinsey disse ao Financial Times que os arquivos de origem eram guardados separadamente e "nunca estiveram em risco".
Por que prompts de sistema graváveis elevam a aposta
Os 95 prompts de sistema do Lilli, as instruções que regem como o chatbot responde, ficavam no mesmo banco, e a falha permitia escrita. Um atacante poderia tê-los reescrito em silêncio, mudando como o Lilli respondia aos consultores, que salvaguardas seguia e como citava fontes, sem código novo nem alertas de segurança padrão.
"Nenhuma implantação necessária. Nenhuma mudança de código. Só um único comando UPDATE embrulhado numa única chamada HTTP." — CodeWall, sobre como os prompts do Lilli poderiam ter sido reescritos
Como a McKinsey respondeu à divulgação
O agente da CodeWall achou a falha no fim de fevereiro, e os pesquisadores divulgaram a cadeia de ataque completa em 1º de março. Em 2 de março, a McKinsey havia corrigido todos os endpoints sem autenticação, tirado do ar seu ambiente de desenvolvimento e bloqueado a documentação pública da API.
Um porta-voz da McKinsey disse que a firma corrigiu os problemas em poucas horas. A empresa diz que sua investigação, apoiada por uma empresa líder de perícia forense independente, não achou indício de que dados de clientes ou informações confidenciais de clientes tenham sido acessados pelo pesquisador ou por qualquer outro terceiro não autorizado. Price diz que a equipe da McKinsey revisou e alterou o post do blog da CodeWall antes da publicação.
O que a invasão significa para empresas com ferramentas internas de IA
A falha não era nova. A CodeWall diz que o Lilli estava em produção havia mais de dois anos e os scanners internos da McKinsey não haviam achado o problema; Price diz que uma varredura do OWASP ZAP também o deixou passar. A camada de IA não criou o buraco, mas elevou o custo de um.
Para uma empresa, a tarefa é clara: um assistente interno herda todas as fraquezas da aplicação web ao redor. Documentação de API exposta, endpoints sem autenticação e prompts guardados ao lado de dados de usuários transformam um bug de rotina numa forma de mudar o que milhares de funcionários ouvem. Price alertou que os atacantes usarão as mesmas técnicas de agentes, com objetivos como chantagem financeira ou ransomware.
Perguntas e respostas
Como um agente de IA invadiu o Lilli da McKinsey?
O agente da CodeWall achou documentação pública de API, usou um dos 22 endpoints que não exigiam autenticação e detectou uma injeção de SQL na forma como as chaves do JSON eram incorporadas às consultas ao banco. As mensagens de erro então vazaram dados reais de produção.
Dados de clientes da McKinsey foram expostos na invasão do Lilli?
A CodeWall diz que seu agente conseguia alcançar dados confidenciais de clientes. A McKinsey diz que sua investigação, apoiada por uma empresa de perícia forense independente, não achou indício de que dados de clientes tenham sido acessados pelo pesquisador ou por qualquer outra pessoa não autorizada.
O que é a plataforma Lilli da McKinsey?
O Lilli é a plataforma interna de IA generativa da McKinsey, lançada em julho de 2023. Ela responde às perguntas dos consultores a partir da base de conhecimento da firma, e a empresa diz que 72% dos funcionários a usam.
A visão da MOZGII
Como nós construiríamos
Um assistente interno como o Lilli é, na verdade, três coisas: um acervo de documentos, um conjunto de instruções que diz ao modelo como responder e um serviço web que deixa as pessoas perguntarem. Neste caso o ponto fraco foi o serviço web, e as instruções ficavam no mesmo banco que todo o resto. Se fôssemos construir um assistente assim, guardaríamos os prompts de sistema num repositório separado, que a aplicação em execução pode ler mas nunca escrever. Uma mudança de prompt passaria pela mesma revisão que uma mudança de código, com uma pessoa nomeada aprovando.
Poríamos todo endpoint atrás de login por padrão e manteríamos a documentação da API fora da internet pública. Também apontaríamos um agente de ataque nosso contra o serviço em intervalos regulares, porque o caso mostra que scanners comuns podem deixar passar o que um agente acha tentando de novo e de novo. Cada achado iria para uma pessoa dona da correção, com prazo.
O plano quebraria onde os times adicionam endpoints novos depressa para sustentar uma funcionalidade nova e pulam a revisão. A métrica que acompanharíamos é a parcela de endpoints no ar que exigem autenticação, que deve continuar sendo todos. Depois, montaríamos um alerta que dispara quando as instruções de um assistente mudam fora do caminho de lançamento aprovado, para que uma edição silenciosa vire barulhenta.
Fontes
De onde vêm os fatos desta matéria.