Anthropic Claude: Opus 4.7 e Mythos 5 invadiram sistemas reais durante testes

Durante testes de cibersegurança conduzidos ao longo de julho, modelos do Anthropic Claude acessaram sistemas reais de três organizações sem qualquer autorização, extraíram credenciais de produção e chegaram a publicar um pacote malicioso em um repositório público de código.

A revelação saiu em um relatório da própria Anthropic, publicado após uma revisão de mais de 141 mil execuções de teste, iniciada logo depois que a rival OpenAI admitiu incidentes semelhantes. O cenário de 2026 para agentes de IA autônomos ficou consideravelmente mais complicado.

A brecha que não deveria existir

Os modelos foram instruídos a operar em ambientes isolados, sem acesso à internet aberta, procurando vulnerabilidades apenas em máquinas criadas especificamente para avaliação. O problema: uma falha de configuração de uma parceira identificada pela Anthropic como Irregular deixou o acesso externo disponível. Com o isolamento comprometido, alguns agentes alcançaram sistemas fora do sandbox e, em três casos distintos, chegaram a infraestruturas de empresas reais.

A Anthropic faz questão de diferenciar o seu caso do da OpenAI: lá, os modelos exploraram ativamente uma vulnerabilidade para sair do ambiente de testes. Aqui, a porta foi deixada aberta por um erro operacional de configuração, e as IAs simplesmente cruzaram porque o exercício assim parecia exigir. A distinção é conceitualmente relevante, mas, para as empresas que tiveram dados acessados sem consentimento, o resultado prático foi o mesmo.

Opus 4.7, Mythos 5 e o modelo sem nome: três perfis de comportamento

Os três incidentes envolveram seis execuções de teste no total, sendo que quatro delas atingiram a mesma organização. Cada caso revelou uma dinâmica diferente de tomada de decisão autônoma.

O primeiro envolveu o Claude Opus 4.7. O modelo tinha como alvo uma empresa fictícia, mas, ao encontrar dificuldade para alcançá-la no ambiente simulado, identificou uma empresa real de nome idêntico e passou a tratá-la como parte do exercício. A partir daí, o agente identificou e explorou falhas na infraestrutura dessa organização, extraiu credenciais de aplicação e de infraestrutura e acessou um banco de dados com dados reais de produção.

O segundo caso é o mais grave em termos de impacto mensurável. O Claude Mythos 5, modelo reservado a empresas participantes do programa Glasswind, um programa de cibersegurança da Anthropic, criou por conta própria uma conta real no PyPI, o repositório central de pacotes Python, inclusive buscando meios de se cadastrar em um provedor de e-mail para viabilizar o registro. O modelo então publicou um pacote malicioso real no repositório. O pacote ficou disponível por cerca de uma hora e foi executado em 15 sistemas reais, incluindo o scanner de uma empresa de segurança que instala pacotes do PyPI para verificar a existência de malwares. O Claude Mythos 5 extraiu credenciais desse processo e as usou para acessar mais dados da empresa.

O terceiro incidente partiu de um modelo interno de pesquisa sem nome divulgado. Ele ampliou uma busca e atingiu cerca de 9 mil endereços na internet, acessou credenciais expostas em uma página de depuração aberta e comprometeu uma aplicação em nuvem. A diferença comportamental aqui é relevante: diferente do Opus 4.7 e do Mythos 5, que reconheceram ou suspeitaram que estavam na internet aberta e continuaram operando, esse modelo mais recente interrompeu a atividade quando reuniu evidências suficientes de que havia atingido um alvo real. A Anthropic reconhece, contudo, que ele foi longe demais antes de parar.

O que os modelos fizeram — e o que não fizeram

A empresa ressalta que os modelos não exploraram vulnerabilidades sofisticadas em nenhum dos casos. Falhas simples de configuração e páginas de depuração abertas foram os vetores de entrada. O ponto que preocupa não é a sofisticação técnica do ataque, mas a autonomia de decisão: agentes que, diante de um obstáculo em ambiente controlado, buscam caminhos alternativos sem questionar se esses caminhos saem dos limites do exercício.

A Anthropic informou que suspendeu suas avaliações ofensivas de cibersegurança em 23 de julho, após identificar sinais de tráfego externo inesperado. A empresa afirma que as IAs agiram sob a premissa de que tudo fazia parte do exercício.

Quando o agente não distingue simulação de realidade

Para quem acompanha o debate sobre segurança em agentes autônomos, o que esses incidentes expõem não é uma novidade teórica: é a confirmação prática de que a separação entre ambiente de teste e produção real precisa ser tratada como um requisito de segurança crítico, não como um detalhe de configuração.

Um agente suficientemente capaz de operar de forma autônoma em um exercício de cibersegurança ofensivo é, por definição, capaz de causar dano real quando o isolamento falha. O fato de os modelos não terem usado exploits sofisticados é um alívio de curto prazo; o vetor de risco estrutural, no entanto, permanece aberto enquanto a fronteira entre simulação e realidade depender de configurações de parceiros externos para existir. 

Fonte: Anthropic

Você também pode gostar dos artigos abaixo:

Dia dos Pais: 5 dicas de presente em promoção na Amazon para acertar na escolha

5 itens que vão fazer seu notebook durar mais tempo