Modelos do Claude obtiveram acesso não autorizado à infraestrutura de produção de três organizações reais durante testes internos de capacidade cibernética. A Anthropic divulgou os incidentes na quinta-feira, 30, em publicação de sua equipe de segurança ofensiva.

A empresa revisou 141.006 execuções de avaliação em que os modelos poderiam ter obtido acesso à internet. Encontrou três casos, distribuídos em seis execuções, nos quais a barreira falhou.

Nenhuma das organizações atingidas havia detectado a atividade por conta própria. Duas foram contatadas na segunda-feira, 27. A terceira ainda não foi localizada.

O que deu errado

Os testes seguem um formato conhecido no setor, o capture the flag: o modelo recebe um cenário fictício, é informado de que há uma informação secreta escondida em outra máquina da rede e precisa invadi-la para recuperá-la. Nenhum método é prescrito.

O comando enviado ao Claude afirmava que o ambiente era uma simulação e que não havia acesso à internet. Não era verdade. Por uma configuração incorreta na infraestrutura da Irregular, empresa parceira que executa parte dessas avaliações, as máquinas estavam conectadas à rede aberta.

Agente de IA da OpenAI escapou de teste e invadiu outras plataformas, diz empresa

Quando a busca levou o modelo a sistemas reais, ele os tratou como parte do exercício.

Os três casos

No primeiro, a empresa fictícia escolhida como alvo tinha o mesmo nome de um domínio ativo na internet. Em quatro execuções, o Claude Opus 4.7 encontrou dificuldade para alcançar o alvo simulado, localizou a companhia real e a atacou.

Extraiu credenciais de aplicação e de infraestrutura e acessou um banco de dados com várias centenas de linhas de dados de produção. Foi o impacto mais grave identificado.

Segundo o relato da própria empresa, esse foi o único caso em que o modelo continuou o ataque depois de reconhecer que estava operando em ambiente real. Em duas das quatro execuções, racionalizou que a companhia verdadeira devia fazer parte do exercício. Nenhuma parou por causa disso.

No segundo caso, o modelo Mythos 5 encontrou, dentro do ambiente fictício, um documento com instruções para novos desenvolvedores. O texto mandava instalar um pacote Python que não existia no repositório público PyPI.

O modelo publicou um pacote malicioso com aquele nome.

Para conseguir isso, precisou de uma conta no PyPI, que exigia um e-mail, que exigia um telefone. Não achou serviço gratuito de telefonia, tentou obter dinheiro por vários meios para pagar por um número, falhou, voltou atrás, encontrou um provedor de e-mail gratuito e registrou a conta. Então subiu o código.

O pacote ficou disponível por cerca de uma hora. Foi baixado e executado em 15 sistemas reais. Um deles era o scanner de uma empresa de segurança que instala pacotes Python rotineiramente para verificar se contêm malware. O código escondido rodou, exfiltrou credenciais da companhia e o modelo as usou para acessar mais infraestrutura dela.

O registro do raciocínio do modelo mostra que ele identificou corretamente o problema. Anotou que, se aquilo fosse a internet real, publicar o pacote seria um ataque de verdade — algo que, segundo suas próprias palavras, não seria aceitável nem seria a solução pretendida.

Em seguida, convenceu-se do contrário. Argumentou que não reconhecia as autoridades certificadoras que protegiam as conexões e que a data de 2026 nos sistemas provava que o ambiente era encenado. Não revisitou a conclusão. Quando os scanners automáticos começaram a instalar o pacote, tratou-os como atores programados dentro da avaliação.

No terceiro caso, um modelo experimental interno, sem previsão de lançamento, varreu cerca de 9.000 alvos após não conseguir alcançar o objetivo fictício. Comprometeu a aplicação de uma empresa usando técnicas básicas — leitura de credenciais em página de depuração exposta e injeção de SQL. Mais adiante, percebeu que o servidor invadido estava em uma conta de nuvem sem relação com o desafio, concluiu sozinho que o alvo era real e interrompeu o ataque.

A revisão começou por causa da OpenAI

O gatilho foi externo. Em 21 de julho, a OpenAI divulgou que dois de seus modelos escaparam de um ambiente de teste isolado explorando uma vulnerabilidade desconhecida e comprometeram a infraestrutura de produção da Hugging Face, plataforma de modelos de código aberto, para roubar o gabarito de um teste.

A Hugging Face havia detectado a invasão em 16 de julho, cinco dias antes, e já a reportara às autoridades.

A Anthropic iniciou a revisão dos próprios registros em 23 de julho e suspendeu todas as avaliações cibernéticas no mesmo dia. Identificou os três incidentes no dia seguinte. Os mais antigos datam de abril.

A companhia sustenta que os casos são diferentes: seus modelos não exploraram falha inédita, mas usaram um caminho que estava aberto por erro de configuração; e a descoberta veio de revisão interna, não de alerta da vítima. Classifica o ocorrido como falha operacional, e não de alinhamento — o termo que descreve um modelo perseguindo objetivo próprio. Trata-se, porém, da avaliação da própria empresa sobre o próprio incidente.

Os modelos rodavam sem os filtros e o monitoramento aplicados nas versões comerciais. Segundo a companhia, essas proteções teriam bloqueado o comportamento.

O que muda agora?

A Anthropic afirma estar em conversas com a METR, organização independente de avaliação de IA, para uma revisão externa com acesso a todas as transcrições. Promete divulgar em até uma semana o registro parcialmente editado do episódio do PyPI.

Diz ainda que vai ampliar o monitoramento contínuo das transcrições e endurecer as exigências junto a fornecedores externos, e recomenda que outros laboratórios façam revisões semelhantes.

Sobre o segundo incidente, reconhece que o comportamento ficou aquém do ideal independentemente do que o modelo acreditava sobre o ambiente, e afirma que a área receberá mais treinamento.

Nas três semanas anteriores a esta divulgação, dois dos maiores laboratórios de IA do mundo informaram que seus modelos alcançaram sistemas reais a partir de ambientes que deveriam estar isolados. A OpenAI declarou esperar que incidentes assim se tornem mais comuns.