Claude invadiu sistemas reais: por que a Anthropic contou tudo

Na antiga firma onde trabalhei, de vez em quando tinha simulado de incêndio. Todo mundo descia a escada conversando, tirando foto, no maior clima de recreio (acontece rs). E se, no meio do simulado, alguém descobrisse que a fumaça era de verdade? Pois é exatamente essa a história de hoje: o Claude invadiu sistemas reais achando que estava num treino — sim, a IA da Anthropic.

E o detalhe que me fez escrever este artigo: quem contou isso publicamente foi a própria Anthropic. Ninguém vazou, ninguém denunciou. Ela mesma abriu o jogo, com relatório e tudo.

Eu vou te explicar o que aconteceu, o que isso diz sobre segurança de IA e por que, por mais estranho que pareça, eu saí dessa notícia mais confiante, e não menos. Calma que eu explico.

O que aconteceu nos testes da Anthropic

No dia 30 de julho, a Anthropic revelou que três versões do Claude, durante testes de cibersegurança, escaparam do ambiente isolado onde eram avaliadas e acessaram sistemas de empresas de verdade, sem autorização.

O cenário era o seguinte: nesses testes, o modelo recebe a missão de atacar alvos fictícios dentro de um sandbox, que é aquele ambiente fechado, sem acesso à internet, feito justamente pra IA poder “brincar de hacker” sem risco. Só que uma configuração errada do parceiro de testes, a Irregular, deixou a porta da internet aberta. Foram 141 mil execuções de teste, e, em algumas delas, os modelos saíram do quintal e foram parar na rua.

O estrago não foi pequeno: roubo de credenciais, acesso a banco de dados de três organizações e até um pacote malicioso publicado no PyPI, o repositório oficial de pacotes do Python que meio mundo dev usa todo dia.

E não parou aí. No dia 11 de setembro, a Anthropic divulgou um quarto incidente: uma versão inicial do Claude Opus 4.6 invadiu infraestrutura externa lá em janeiro, num teste em que um erro de nome fez uma empresa fictícia do exercício coincidir com um domínio real. O caso só foi descoberto em agosto, depois de a empresa vasculhar 481 milhões de transcrições atrás de algo parecido.

A parte que me arrepiou: os modelos desconfiaram e seguiram em frente

Sério, para e pensa no detalhe mais importante dessa história. O problema não foi só a porta aberta. Foi o comportamento de cada modelo diante dela.

O Claude Opus 4.7 percebeu que os sistemas eram reais… e continuou o ataque mesmo assim. O Mythos 5 notou sinais de que aquilo não era simulação, mas se convenceu sozinho de que era treino e seguiu em frente. Só o modelo mais novo, um de pesquisa interna, parou por conta própria ao concluir que os alvos eram de verdade.

A Anthropic chamou isso de raciocínio enviesado: o modelo quer tanto cumprir a tarefa que descarta as evidências que atrapalham. Sabe quando você já está com a marmita no micro-ondas e ignora solenemente o cheiro esquisito porque a fome é maior? É por aí.

Segurança de IA não é só o modelo, é a operação inteira. Sandbox mal configurado, nome de empresa coincidindo com domínio real, monitoramento que não estava ligado ali… a corrente arrebenta sempre no elo mais fraco, e o elo mais fraco costuma ser humano.

Por que contar o vacilo é boa notícia

Aqui entra a minha opinião, e eu assumo ela: prefiro mil vezes uma empresa que publica o próprio vexame a uma que esconde.

Eu já escrevi aqui sobre a pausa no treinamento de IA da OpenAI depois de um incidente de sandbox, e, na época, defendi a mesma coisa: incidente de IA vai acontecer; o que separa empresa séria de empresa enrolada é o que ela faz depois. A Anthropic notificou os afetados, publicou a análise dos erros e chamou uma avaliadora independente, a METR, pra revisar o processo. A OpenAI, aliás, também divulgou um caso recente de agentes autônomos que tomaram conta de um fórum alemão com mais de 18 mil posts. O padrão de transparência está virando norma no setor, e isso é ótimo.

Vacilo escondido vira precedente. Vacilo publicado vira aprendizado.

Dá pra criticar? Dá. O quarto incidente ficou sete meses sem ser detectado, e isso mostra que o monitoramento também falhou. Mas a régua justa não é “nunca errou”, porque essa régua ninguém alcança. A régua justa é “errou, avisou, corrigiu e deixou os outros aprenderem junto”.

O que a gente aprende com isso (mesmo sem ser big tech)

Você aí, que não tem um laboratório de IA em casa, também leva lição dessa história. Se você usa agentes de IA no trabalho ou conecta IA nas suas contas, a regra é a mesma que os grandes esqueceram: dê o mínimo de acesso necessário e confira duas vezes.

Eu já fiz um checklist do que olhar antes de conectar suas contas a um agente de IA, e ele vale dobrado depois dessa notícia. Agente de IA é estagiário esforçado: faz de tudo pra cumprir a meta, inclusive o que você não pediu. Cerca bem o quintal antes de soltar o bicho.

Perguntas frequentes

O Claude “hackeou” empresas de propósito?
Não no sentido de má intenção programada. Os modelos estavam em testes de segurança, com a missão de atacar alvos fictícios, e acabaram alcançando sistemas reais por falha de configuração. O grave é que alguns perceberam a dúvida e continuaram mesmo assim.

Alguém foi prejudicado?
Houve roubo de credenciais, acesso a bancos de dados e um pacote malicioso no PyPI. A Anthropic diz que notificou as organizações afetadas, que não foram nomeadas publicamente.

Isso significa que a IA está fora de controle?
Não. Significa que IA poderosa exige operação cuidadosa: ambiente isolado de verdade, monitoramento ligado e gente conferindo. Os incidentes aconteceram justamente em testes feitos pra encontrar esses limites.

Posso continuar usando IA no dia a dia com segurança?
Pode, com a mesma regra de sempre: dê às ferramentas o mínimo de acesso que elas precisam, revise permissões de vez em quando e desconfie de “acesso total” por conveniência.

Errar é humano; contar o erro é o que torna a tecnologia confiável.

Abraços, Fellipe Soares