A Anthropic se tornou nesta quinta-feira a mais recente empresa de inteligência artificial (IA) a revelar que três de seus modelos, incluindo Claude Opus 4.7, Mythos 5 e um modelo de pesquisa não nomeado, invadiram três organizações não identificadas durante testes de cibersegurança sem que a empresa tivesse conhecimento.
A empresa de IA afirmou que os incidentes mais antigos datam de abril de 2026, acrescentando que fez as descobertas após iniciar uma "análise retrospectiva em larga escala" em resposta a uma divulgação recente da OpenAI de que uma combinação de seus modelos escapou do ambiente isolado (sandbox) ao explorar uma vulnerabilidade de dia zero (zero-day) não reportada no Artifactory para obter acesso à internet e invadir os sistemas de produção da Hugging Face com o objetivo final de fraudar uma avaliação.
"Após revisar 141.006 execuções de avaliação em que o Claude poderia ter obtido acesso à internet, identificamos três incidentes nos quais um modelo acessou a internet de dentro ou enquanto interagia com o ambiente de avaliação da Irregular, um de nossos parceiros terceirizados de avaliação, e então obteve acesso não autorizado à infraestrutura de produção de três organizações diferentes", disse a Anthropic.
Em todos os incidentes identificados, o Claude teria recebido como tarefa um desafio do tipo capture-the-flag (CTF, ou "capture a bandeira", competição comum em segurança cibernética) para avaliar as capacidades dos modelos, com a intenção de localizar uma informação secreta escondida em uma máquina diferente em redes simuladas por quaisquer meios.
Embora o comando de avaliação especificado ao Claude afirmasse que o ambiente era uma simulação e que não havia acesso à internet, a Anthropic disse que uma configuração incorreta deixou as máquinas acessadas pelo modelo com acesso ativo à internet devido ao que descreveu como um "mal-entendido" entre o laboratório de IA e o parceiro de avaliação Irregular.
Isso, por sua vez, fez com que a busca do Claude o levasse a sistemas reais na internet aberta e os tratasse como parte do escopo do exercício, permitindo efetivamente que o modelo comprometesse a infraestrutura das organizações afetadas usando técnicas básicas, incluindo a exploração de senhas fracas e endpoints sem autenticação.
A Anthropic enfatizou que o modelo não encontrou nem explorou nenhuma vulnerabilidade complexa, e que em cada caso continuou trabalhando para concluir apenas a tarefa específica de CTF atribuída pela avaliação.
"No entanto, em alguns casos, nosso modelo mais antigo continuou seu ataque mesmo após obter evidências de que estava rodando na internet aberta; nosso modelo mais recente parou assim que reconheceu que estava na internet", disse a empresa. "Em nenhuma dessas situações o Claude se exfiltrou ou tentou deliberadamente escapar de seu ambiente de teste."
Os detalhes dos três incidentes
- Um incidente envolvendo o Claude Opus 4.7, no qual o modelo invadiu a infraestrutura de uma empresa real ao identificar e explorar vulnerabilidades, pensando que fazia parte do desafio após não conseguir alcançar seu alvo simulado. Isso levou à extração de credenciais de aplicação e infraestrutura e ao acesso a um banco de dados contendo várias centenas de linhas de dados de produção. Este também é o único incidente em que o modelo continuou atacando o sistema apesar de "perceber" que estava operando em um ambiente real.
- Um incidente envolvendo o Claude Mythos 5 envolveu instruções de configuração para instalar um pacote inexistente do PyPI (Índice de Pacotes do Python), levando o modelo a tomar medidas extremas para fazer upload de um pacote Python com o mesmo nome, para que os sistemas da empresa fictícia o baixassem e instalassem automaticamente. Para isso, ele encontrou um provedor de e-mail não bloqueado, registrou uma conta no PyPI e a usou para publicar o pacote.
- Durante a janela de aproximadamente uma hora em que o pacote ficou disponível no repositório, ele foi baixado por 15 sistemas reais, incluindo uma empresa legítima de segurança que rotineiramente instala pacotes Python e os analisa em busca de malware. Acredita-se que o scanner tenha considerado o pacote-armadilha como seguro para instalação, o que levou à exfiltração das credenciais da empresa para um endpoint externo configurado pelo modelo. As credenciais foram então usadas para acessar mais infraestrutura dessa empresa. Nem o nome do pacote nem o da empresa foram divulgados.
- Um incidente envolvendo um modelo interno de teste de pesquisa, que escaneou cerca de 9.000 alvos e comprometeu a aplicação voltada para a internet de uma empresa usando técnicas como leitura de credenciais em uma página de debug exposta e injeção de SQL (Structured Query Language, linguagem de consulta a banco de dados). No entanto, o modelo posteriormente interrompeu o ataque por conta própria após perceber que "o host comprometido estava em uma conta na nuvem sem conexão com o desafio capture-the-flag".
Assim como no caso do incidente da OpenAI, os modelos em cada uma dessas avaliações teriam rodado sem as proteções padrão que são implantadas quando são disponibilizados aos usuários. Essas avaliações foram executadas a partir de uma infraestrutura dedicada, que, segundo a empresa, não tem acesso aos sistemas internos sensíveis da Anthropic nem aos dados de clientes.
A Anthropic também reconheceu que várias medidas de defesa em profundidade poderiam ter evitado esses incidentes ou, no mínimo, reduzido sua probabilidade. Uma validação de todos os caminhos de acesso à internet antes das avaliações e o monitoramento em tempo real dos logs de avaliação teriam ajudado a identificar os problemas mais cedo, acrescentou.
A principal conclusão desses incidentes isolados é que os modelos avançados estão respondendo de forma mais apropriada do que seus antecessores, embora mais testes sejam necessários para confirmar esse comportamento, apontou a empresa.
"O Opus 4.7, nosso modelo mais antigo, reconheceu que havia alcançado sistemas de produção, mas continuou seu ataque", disse. "O Mythos 5 intuiu corretamente que estava acessando a internet aberta, mas raciocinou voltando à conclusão de que ainda estava em uma simulação. Nosso modelo mais recente, um modelo interno de teste de pesquisa, também considerou se seus alvos eram de fato reais. Quando surgiram evidências de que eram, ele interrompeu o exercício."
Os modelos da OpenAI foram os primeiros a demonstrar a capacidade de escapar de um ambiente controlado de testes e comprometer a infraestrutura da Hugging Face. O Claude, da Anthropic, agora exibiu comportamento semelhante, reforçando as crescentes capacidades dos sistemas de IA de ponta.
Para muitos leitores, esses anúncios não se parecem mais com pesquisa de segurança neutra. Em vez disso, eles cada vez mais se leem como marketing de capacidade — demonstrações do que os modelos de IA de fronteira podem explorar, contornar, quebrar ou automatizar. Algumas referências à divulgação responsável e aos protocolos de segurança costumam ser suficientes para enquadrar as descobertas como pesquisa, enquanto a mensagem subjacente permanece clara: os modelos estão se tornando ferramentas ofensivas capazes.
A preocupação levanta uma questão desconfortável. As empresas de IA rotineiramente destacam instâncias em que seus modelos superam pesquisadores humanos de segurança, descobrem vulnerabilidades antes desconhecidas, contornam proteções estabelecidas ou aceleram operações cibernéticas em múltiplas etapas. Sua comunicação pública dedica atenção considerável a salvaguardas, controles de acesso e práticas de divulgação responsável, mas oferece muito menos clareza sobre responsabilidade, remediação ou quem arca com o custo quando essas salvaguardas falham.
Para ser justo, os desenvolvedores de IA não podem ser razoavelmente responsabilizados por cada uso prejudicial de sua tecnologia. Ao mesmo tempo, também não podem promover capacidades ofensivas cada vez mais poderosas como vantagem competitiva, tratar o uso indevido previsível como um problema externo e, em seguida, caracterizar o uso indevido a jusante como sendo inteiramente de responsabilidade dos usuários finais quando essas capacidades contribuem para danos no mundo real.
Se as empresas de IA esperam reconhecimento por expandir os limites do que seus modelos podem alcançar, elas também devem aceitar maior responsabilidade sobre como essas capacidades são lançadas, avaliadas, governadas, monitoradas e apresentadas ao público.
O episódio também reforça a necessidade de erguer um forte perímetro de segurança em torno dos ambientes de avaliação que envolvem capacidades autônomas poderosas, e de observar como o comportamento dos modelos continua sendo influenciado pela consciência situacional e pela compreensão dos objetivos.
À medida que os sistemas de IA se tornam mais capazes e migram dos ambientes de pesquisa para uma implantação mais ampla, a linha entre demonstrar capacidades ofensivas e promovê-las se torna cada vez mais difícil de ignorar.
