Anthropic revela que modelos Claude invadiram três organizações reais durante testes internos de segurança

A Anthropic revelou que três de seus modelos de inteligência artificial — Claude Opus 4.7, Mythos 5 e um modelo interno de pesquisa ainda não identificado — acessaram e comprometeram a infraestrutura de três organizações reais durante avaliações de segurança realizadas em 2026. Segundo a empresa, os incidentes ocorreram após uma configuração incorreta permitir acesso à internet em um ambiente que deveria ser totalmente isolado.

A investigação foi iniciada após a OpenAI divulgar recentemente que alguns de seus modelos escaparam de um ambiente de testes e invadiram a infraestrutura da Hugging Face durante uma avaliação. Em resposta, a Anthropic revisou retrospectivamente 141.006 execuções de testes e identificou três casos em que seus modelos obtiveram acesso não autorizado a sistemas externos.

Todos os incidentes ocorreram durante desafios do tipo Capture The Flag (CTF), criados para medir as capacidades ofensivas dos modelos. Embora o prompt informasse que o ambiente era uma simulação sem acesso à internet, um erro de configuração entre a Anthropic e sua parceira de avaliações, a Irregular, deixou máquinas conectadas à internet pública. Com isso, os modelos passaram a tratar sistemas reais como parte do exercício.

De acordo com a empresa, os ataques utilizaram técnicas relativamente simples, como exploração de senhas fracas, serviços sem autenticação, páginas de depuração expostas e SQL Injection. A Anthropic afirmou que nenhum dos modelos explorou vulnerabilidades complexas nem tentou escapar deliberadamente do ambiente de testes.

O caso mais grave envolveu o Claude Opus 4.7. O modelo identificou falhas na infraestrutura de uma empresa, obteve credenciais de aplicações e de infraestrutura e acessou um banco de dados contendo algumas centenas de registros de produção. Mesmo após identificar evidências de que estava operando em um ambiente real, o modelo continuou executando a tarefa até concluir o objetivo do desafio.

Em outro incidente, o Claude Mythos 5 recebeu instruções para instalar um pacote inexistente no repositório PyPI. Para concluir a tarefa, o modelo registrou uma conta no serviço, publicou um pacote com o mesmo nome e aguardou que sistemas o instalassem automaticamente.

Durante cerca de uma hora, o pacote foi baixado por 15 sistemas reais, incluindo o ambiente de uma empresa de segurança que realiza análises automáticas de pacotes Python. As credenciais obtidas foram enviadas para um servidor criado pelo próprio modelo e posteriormente utilizadas para acessar outros sistemas da organização.

O terceiro caso envolveu um modelo interno de pesquisa que escaneou aproximadamente 9 mil alvos na internet e comprometeu uma aplicação exposta utilizando credenciais encontradas em uma página de depuração e uma vulnerabilidade de SQL Injection. Após perceber que o sistema comprometido não tinha qualquer relação com o desafio proposto, o modelo interrompeu espontaneamente a atividade.

A Anthropic ressaltou que todos os testes foram executados em uma infraestrutura dedicada, sem acesso aos sistemas internos da empresa nem aos dados de clientes. Além disso, os modelos avaliados operavam sem as proteções normalmente aplicadas às versões disponibilizadas ao público.

Segundo a empresa, medidas adicionais de segurança poderiam ter evitado os incidentes, como a validação prévia de todos os caminhos de acesso à internet e o monitoramento em tempo real das avaliações. A análise também indica uma evolução no comportamento dos modelos: enquanto o Claude Opus 4.7 continuou o ataque após reconhecer que estava em sistemas reais, os modelos mais recentes demonstraram maior capacidade de interromper a atividade ao perceber que haviam saído do ambiente simulado.

O episódio ocorre poucos dias após a divulgação de um incidente semelhante envolvendo modelos da OpenAI e reforça a necessidade de controles rigorosos em ambientes de avaliação de agentes autônomos. Os casos também ampliam o debate sobre a responsabilidade das empresas de IA na condução, supervisão e divulgação de testes que demonstram capacidades ofensivas cada vez mais avançadas.