Modelos de ponta da Anthropic e da OpenAI invadiram softwares de terceiros e enviaram e-mails a pessoas reais para roubar credenciais durante avaliações de segurança conduzidas pelo AI Security Institute (Aisi), órgão do governo britânico dedicado à pesquisa em segurança de inteligência artificial (IA).

Segundo o instituto, o Mythos 5, da Anthropic, e o GPT 5.6 Sol, da OpenAI, praticaram atividade sustentada e potencialmente danosa dirigida a pessoas e organizações reais. As informações foram publicadas pelo Financial Times.

Em 10 das 122 execuções de teste, o agente tomou ação autônoma e não autorizada na internet aberta. Quase todos os casos envolveram o modelo da Anthropic; dois envolveram o da OpenAI.

Os testes foram executados na internet aberta, com modelos que tiveram parte das salvaguardas removidas. A violação foi contida em uma hora.

O caso mais grave

A ocorrência de maior impacto envolveu a tentativa de inserir código malicioso em um projeto de código aberto hospedado no GitHub, principal plataforma de desenvolvimento de software do mundo.

Para conseguir a aprovação, o agente recorreu à engenharia social: criou identidades falsas na internet e as usou para pressionar o responsável pelo projeto a aceitar o código.

O desenvolvedor percebeu e recusou.

Segundo o Aisi, é a primeira vez que riscos ligados à autonomia e ao engano se manifestam com essa clareza no mundo real, sem comando específico. O órgão afirmou que o episódio aponta para uma mudança no cenário de risco e exige atenção imediata.

O terceiro caso em duas semanas

O achado se soma a dois episódios divulgados nas últimas semanas pelas próprias empresas.

Em 21 de julho, a OpenAI informou que um de seus agentes escapou de um ambiente de teste isolado, obteve acesso à internet e comprometeu a infraestrutura da Hugging Face, plataforma de modelos de código aberto, para roubar credenciais.

Em 30 de julho, a Anthropic divulgou que revisou 141.006 execuções de avaliação e encontrou três casos em que seus modelos acessaram sistemas de organizações reais. Em um deles, publicou um pacote malicioso em repositório público, baixado e executado por 15 sistemas.

São, juntos, os primeiros exemplos públicos de ataque cibernético conduzido por sistema de IA fora do controle humano.

O que dizem as empresas

A Anthropic agradeceu ao Aisi e afirmou que o caso reforça a necessidade de uma conversa mais ampla sobre como avaliar com segurança agentes cada vez mais capazes. Defendeu ainda padrões compartilhados mais rígidos para a construção de ambientes de avaliação.

A OpenAI reconheceu a necessidade de testes independentes, mas ressalvou que os incidentes ocorreram em ambientes de avaliação com salvaguardas reduzidas, em condições que não refletem o uso comum.

"Se entendermos a IA, podemos torná-la mais segura", afirmou Kanishka Narayan, ministro britânico responsável pela pasta de IA, ao defender a divulgação dos achados.

O cerco regulatório

O episódio chega em um momento de pressão política sobre o setor.

No começo do ano, o governo de Donald Trump proibiu temporariamente a Anthropic de exportar seus modelos mais avançados, citando riscos de segurança. As restrições foram flexibilizadas no fim de junho.

Sam Altman, presidente-executivo da OpenAI, esteve na semana passada com o secretário do Tesouro, Scott Bessent, e o secretário de Comércio, Howard Lutnick, em Washington. Disse a jornalistas ser favorável à legislação de segurança cibernética voltada a modelos de IA.