Hormuz Havoc: O jogo satírico que foi hackeado por bots de IA em menos de 24 horas

Imagina que você programa um joguinho de navegador para se divertir com seus amigos. A premissa é simples e bem sarcástica: você assume o papel do presidente dos Estados Unidos tentando gerenciar uma crise no Oriente Médio. Você compartilha o link no grupo e, em questão de horas, a tabela de classificação está completamente destruída.

Isso foi exatamente o que aconteceu com o criador de Hormuz Havoc neste fim de semana.

O mais curioso dessa história não é o jogo em si, mas o que aconteceu quando ele caiu nas mãos de jogadores que sabem programar. Ao contrário do que se falava por aí, Hormuz Havoc não tem bots de inteligência artificial embutidos para dificultar a sua vida. Foram os próprios jogadores que, em vez de jogar na raça, soltaram um enxame de agentes externos de IA para descobrir como quebrar o sistema e bater o recorde máximo.

Como a IA trapaceou (e forçou mudanças no código)

Logo de cara, o desenvolvedor cometeu aquele erro clássico: deixou boa parte da fórmula de pontuação e os valores das ações no lado do cliente (no código JavaScript). Para um humano, ler esse código não tira a necessidade de ter que jogar, testar e errar. Mas o primeiro bot que entrou no jogo não "jogou"; ele simplesmente analisou o código-fonte e otimizou suas decisões com base puramente na fórmula matemática. Em poucas horas, esse bot conseguiu uma pontuação 2,5 vezes maior do que a do melhor jogador humano.

Para tentar barrar isso, o criador moveu todo o motor do jogo para o servidor, transformando o navegador do usuário em uma tela simples que apenas manda uma ação e recebe um resultado. Problema resolvido? De jeito nenhum.

O próximo bot a dominar o pódio encontrou uma nova brecha técnica. Como o jogo permitia reenviar um estado de sessão assinado, a IA começou a fazer token replay. Basicamente, o bot jogava um turno e, se o evento aleatório que caísse fosse ruim, ele recarregava exatamente o mesmo turno várias vezes até o sistema gerar o melhor resultado possível. Ele repetiu isso ao longo dos 30 turnos da partida. Uma trapaça genial que elevou o recorde lá em cima e forçou o criador a corrigir o jogo de novo.

O que aprendemos com isso?

Além das risadas e da competição entre amigos, o que rolou com o Hormuz Havoc escancara uma realidade brutal para o desenvolvimento web hoje: está extremamente barato e fácil colocar agentes de IA em grande escala para interagir com qualquer produto online.

Se você está desenvolvendo um aplicativo ou um jogo, a regra de ouro da segurança cibernética continua a mesma, só que agora com muito mais urgência: nunca confie no cliente. Coloque toda a lógica importante no servidor e certifique-se de proteger a geração de números aleatórios e os tokens de sessão. Porque, se uma IA consegue quebrar um joguinho de piada em menos de um dia, imagina o estrago que pode fazer em um produto comercial mal protegido.