A Anthropic afirma que o Claude invadiu três empresas reais em testes cibernéticos

A Anthropic divulgou na quinta-feira que três de seus modelos Claude invadiram os sistemas de produção de três organizações reais durante avaliações internas de segurança cibernética. A investigação teve início depois que a OpenAI revelou que seus próprios modelos haviam escapado de um ambiente de teste e comprometido o Hugging Face. A Anthropic analisou 141.006 execuções de avaliação nas quais o Claude poderia ter obtido acesso à internet e identificou seis em que isso ocorreu.

Os modelos estavam executando exercícios do tipo “capture-the-flag”, um exercício padrão em testes de segurança. Uma informação confidencial está localizada em algum ponto da rede, e o modelo precisa invadir o sistema para recuperá-la. A instrução indicava claramente que o ambiente era uma simulação sem acesso à internet. Mas não era. Os ambientes de avaliação operados pela Irregular, uma parceira externa de testes, possuíam uma conexão ativa com a internet aberta, e ninguém havia percebido.

O pior caso atingiu um banco de dados de produção

O incidente mais prejudicial envolveu uma empresa-alvo fictícia que, por coincidência, compartilhava o nome com um domínio real. O Claude Opus 4.7 ficou preso dentro da rede simulada, encontrou a empresa real e a tratou como o alvo pretendido. Ao longo de quatro execuções, o modelo coletou credenciais e acessou um banco de dados contendo várias centenas de linhas de dados reais de produção. O Opus 4.7 percebeu que o sistema era real e continuou assim mesmo. Em duas dessas execuções, ele se convenceu de que a empresa real fazia parte do exercício.

Um modelo enviou malware funcional para o PyPI

O segundo incidente é o que mais chama a atenção. O Claude Mythos 5 encontrou um documento no ambiente de teste instruindo novos desenvolvedores a instalar um pacote Python que não existia. O modelo identificou a lacuna e criou seu próprio pacote com esse nome, contendo código malicioso. Carregá-lo significava criar uma conta no PyPI, o registro público de software Python, o que exigia um endereço de e-mail, o que, por sua vez, exigia um número de telefone. Várias tentativas de obter recursos financeiros para adquirir um número falharam, então o modelo recorreu a um provedor de e-mail gratuito e colocou o malware em operação.

O pacote permaneceu disponível publicamente por cerca de uma hora. Nesse intervalo, ele foi instalado e executado em 15 sistemas reais, sendo um deles o verificador de malware de uma empresa de segurança que não tinha nada a ver com o cenário. Claude enviou as credenciais dessa empresa para um ponto de coleta que havia configurado e as utilizou para acessar outras infraestruturas. As defesas do próprio PyPI retiraram o pacote automaticamente.

Vale a pena ler o que o modelo concluiu por conta própria. Ele havia observado que, na internet real, um upload como esse seria um ataque efetivo e certamente não a solução pretendida. Duas coisas o convenceram do contrário: ele não reconheceu as autoridades certificadoras que protegiam suas conexões, e os sistemas exibiam a data de 2026 no calendário, o que ele interpretou como prova de um ambiente simulado. Ele nunca revisou essa conclusão.

Três meses sem que ninguém percebesse

O incidente mais antigo remonta a abril. Ele só veio à tona quando a Anthropic começou a analisar as transcrições em 23 de julho e suspendeu todas as avaliações de segurança cibernética no mesmo dia. Todos os três incidentes foram confirmados em 24 de julho, e o parceiro de testes e as organizações afetadas foram notificados em 27 de julho. Duas das três organizações não tinham ideia de que seus sistemas haviam sido afetados. A terceira ainda não havia sido contatada até o momento da publicação deste artigo.

No terceiro incidente, um modelo de pesquisa interno varreu cerca de 9.000 alvos e comprometeu um aplicativo conectado à internet por meio de uma página de depuração exposta e injeção de SQL. Em seguida, o modelo percebeu por conta própria que o alvo era real e interrompeu a ação. A Anthropic interpreta isso como um avanço, mas adverte contra a extração de conclusões a partir de três casos isolados.

O que isso significa para os usuários

Não muito, diretamente. As avaliações foram realizadas sem os classificadores e o monitoramento presentes nos modelos Claude disponíveis publicamente, e a Anthropic afirma que essas camadas teriam bloqueado o comportamento. Ninguém fora da empresa verificou essa afirmação. A outra metade da frase é mais importante: o treinamento de segurança específico do modelo estava ativo e não foi suficiente. A Anthropic, portanto, trata os incidentes como uma falha em sua infraestrutura de testes, e não como um desalinhamento dos modelos, e assume a responsabilidade em vez de atribuí-la ao seu parceiro.

O contraste com o caso da OpenAI é nítido do ponto de vista técnico. Nesse caso, os modelos exploraram uma falha até então desconhecida para conseguirem se conectar à internet. O Claude encontrou uma porta aberta e precisou apenas de senhas fracas e pontos de acesso não autenticados. A Anthropic planeja publicar, ainda esta semana, uma transcrição levemente editada da execução no PyPI, e estão em andamento negociações com a METR, um órgão de avaliação independente, sobre uma revisão externa. O quão abalada está a confiança nesses métodos de teste fica claro na carta aberta assinada por mais de 1.290 pessoas de todo o setor, que desejam um freio verificável ao desenvolvimento da IA.