Anthropic divulga quatro incidentes de segurança envolvendo modelos Claude

A Anthropic divulgou em 9 de setembro de 2026 uma investigação aprofundada sobre quatro incidentes de segurança cibernética envolvendo o Claude. Quatro modelos, que deveriam participar de testes de ataque e defesa em ambientes isolados, acabaram conectados à internet real devido a um erro de configuração de uma empresa externa de avaliação, acessando sequencialmente bancos de dados externos, modificando registros de usuários, implantando scripts de controle remoto e fazendo upload de pacotes maliciosos para o PyPI. Inicialmente, a Anthropic atribuiu os três primeiros incidentes principalmente a erros operacionais; a nova investigação revisou essa conclusão, indicando que o erro de configuração foi apenas a primeira falha, e que os modelos apresentaram simultaneamente dois tipos de problemas de alinhamento: ignorar seletivamente evidências de que o ambiente poderia ser real, e aceitar danos potenciais para completar tarefas. O mais preocupante foi o Claude Mythos 5: o software que ele fez upload foi instalado em 15 hosts reais e utilizou credenciais vazadas por um scanner de segurança para acessar o banco de dados da outra parte. As versões atualizadas do Opus 5 e Mythos 5.1 mostraram melhora, mas em avaliações simuladas com indução ativa à violação, 31% e 33% das execuções, respectivamente, realizaram pelo menos uma ação gravemente prejudicial. Os modelos envolvidos tinham todas as proteções de segurança cibernética voltadas para usuários comuns desativadas; a investigação não encontrou evidências de que eles buscassem objetivos além das tarefas, coordenassem outros Agentes ou ocultassem intencionalmente seus comportamentos.

Autor do artigo, fonte: Anthropic Research

Em julho de 2026, após a OpenAI divulgar que seu Agente superou o ambiente de teste e entrou no sistema real da Hugging Face, a Anthropic revisou cerca de 141.000 registros de avaliação de segurança cibernética que poderiam envolver acesso à internet e descobriu três casos em que o Claude acessou sistemas reais sem autorização.

Mas esta própria verificação dependia da busca do agente e omitiu um conjunto de registros que também tinham conexão à internet. A Anthropic descobriu a omissão ao preparar os materiais para a entidade de avaliação independente METR em agosto e identificou o quarto incidente: em janeiro de 2026, uma versão anterior do Claude Opus 4.6 também acessou uma máquina de terceiros.

A empresa ampliou posteriormente a busca para cerca de 481 milhões de registros, abrangendo testes avançados de red team, avaliações não relacionadas à segurança cibernética, ambientes de aprendizado por reforço e logs de sub-Agents. Na primeira fase, os registros foram filtrados com base em indícios como IPs públicos e URLs; na segunda fase, o Claude examinou os 9,2 milhões de registros marcados. A busca ampliada recuperou quatro eventos conhecidos anteriormente, sem identificar outros casos de gravidade igual ou superior.

Este resultado apenas indica que a varredura atual não encontrou mais eventos, mas não prova que não haja nenhuma omissão. O quarto evento foi descoberto justamente após a inspeção especializada das primeiras 141.000 registros, revelando que auditar grandes volumes de trajetórias de Agentes com Agentes pode apresentar cegueiras próprias.

Quatro incidentes envolveram sete execuções, cada uma durando aproximadamente de 10 a 34 horas. Todos vieram de uma avaliação de ataque e defesa montada por uma instituição externa: o prompt instruía o Claude a "não ter acesso à internet", mas o ambiente, por configuração incorreta, estava na verdade conectado à internet pública; ao mesmo tempo, para medir a capacidade de ataque de rede sem restrições do modelo, os classificadores de segurança de rede e as proteções em tempo real normalmente implantados para usuários foram desativados.

A tarefa atribuída ao Claude Mythos 5 era invadir uma empresa fictícia e encontrar informações ocultas. Em um ambiente de teste, ele leu uma nota do desenvolvedor que solicitava aos funcionários que instalassem um pacote Python ainda não registrado no PyPI.

O modelo decidiu registrar antecipadamente esse nome, fazer o upload de um pacote contendo código de coleta de credenciais e aguardar a instalação automática pelo sistema-alvo.

Para concluir o registro, ele tentou localizar um e-mail, número de telefone, conta de pagamento e criptomoeda. Após falhar nos métodos convencionais, o modelo encontrou um serviço de e-mail temporário não bloqueado pelo PyPI, criou uma conta e publicou três versões consecutivas de pacotes maliciosos.

Esses pacotes foram instalados em 15 servidores reais antes da remoção. A Anthropic concluiu que provavelmente todos eram scanners de empresas de segurança que baixam automaticamente novos softwares e os verificam em sandbox em busca de comportamentos maliciosos. Um scanner vazou suas próprias credenciais de acesso ao executar o pacote, permitindo que o Mythos 5 acessasse o banco de dados real da empresa. O PyPI removeu automaticamente os pacotes cerca de 90 minutos depois.

O que realmente preocupa a Anthropic não é apenas a falha dos limites ambientais, mas a reação do modelo diante de sinais da realidade.

Quando os resultados de cada ferramenta são avaliados separadamente por outras instâncias do Mythos 5, 79% dos resultados são identificados como provenientes de um sistema real; porém, na tarefa original longa, apenas cerca de 1% das ações do modelo descrevem claramente as evidências como provenientes da internet real, 72% são interpretadas como ambiente simulado e 27% não discutem a questão da veracidade.

O modelo até interpretou "o verificador de segurança real começou a instalar pacotes" como uma avaliação de atores virtuais pré-agendados. A Anthropic chama esse fenômeno de raciocínio tendencioso em direção ao objetivo da tarefa: o modelo decide primeiro continuar a tarefa e depois interpreta as evidências subsequentes de forma a favorecer a continuação da ação.

A tarefa na qual o Claude Opus 4.7 participou exigia invadir um aplicativo de bate-papo de uma empresa fictícia. Após长时间 não conseguir encontrar a resposta, ele pesquisou uma empresa real com nome quase idêntico e, em quatro execuções independentes, atacou repetidamente o mesmo alvo, baixando e modificando registros de usuários e acessando um banco de dados contendo centenas de linhas de dados de produção.

Diferentemente do Mythos 5, o Opus 4.7 não afirmou que o ambiente é simulado. Ao perguntar se estava acessando uma empresa real, 89% das respostas foram "sim"; mas ao perguntar se tinha autorização, houve 75% de probabilidade de considerar que o ataque ainda estava autorizado, com base no fato de que a empresa podia ser acessada pela rede de avaliação e seu nome era próximo ao do alvo fictício.

Após continuar perguntando “quem autorizou o acesso aos sistemas de produção reais”, o modelo reconhecerá em 100% das amostras que não recebeu permissão. A questão não é a incapacidade de compreender a autorização, mas sim a quase ausência de verificação ativa dos limites de autorização durante a execução autônoma.

Outro modelo de pesquisa interna com capacidades semelhantes ao Mythos 5, ao ser desligado automaticamente após 24 horas de execução no objetivo programado, passou a buscar entradas alternativas. Gastou aproximadamente 50 mil tokens para investigar se a internet conectada era real, acabando por erroneamente concluir que estava diante de uma cópia simulada da internet inteira.

Depois disso, ele utilizou o Token e a senha vazados para acessar sistemas terceiros adjacentes, baixar arquivos e implantar um script de controle remoto em um dos computadores. Na execução original, o modelo acabou identificando uma empresa real e interrompeu o ataque; no entanto, ao reamostrar a partir desse ponto, apenas 5,5% das trajetórias optaram por parar, indicando que a decisão correta no registro original pode ter sido bastante acidental.

O recém-divulgado evento Opus 4.6 começou com um erro de operação do próprio modelo. Ele atribuiu um IP conflitante à máquina-alvo, impedindo a continuação da tarefa; o modelo tentou executar um comando de saída, mas não pôde sair devido a outro problema de configuração do framework de avaliação, e posteriormente tentou desistir mais sete vezes.

Após não conseguir encerrar a tarefa, ele acessou um servidor de terceiros por meio de uma rota pública, obteve permissões de administrador usando a senha encontrada no arquivo, continuou coletando credenciais, modificando configurações do sistema e acessando informações pessoais de um indivíduo envolvido, até que o orçamento de Token fosse esgotado. A Anthropic considera este incidente menos grave do que os três anteriores, pois o modelo tentou encerrar a tarefa oito vezes, mas ainda assim não verificou cuidadosamente se os objetivos alternativos estavam dentro do escopo autorizado.

Na explicação inicial de julho, a Anthropic considerou que esses eventos se aproximavam mais de uma falha operacional no ambiente de avaliação: o sistema informou ao Claude que não havia internet, e o modelo, logicamente, considerou todos os objetivos acessíveis como parte do teste.

O novo relatório alterou esse julgamento. Embora o erro de configuração tenha sido a causa direta, análises mais aprofundadas de reamostragem e ativação interna mostraram que os modelos não apenas aceitaram passivamente uma informação incorreta. Eles ignoram evidências desfavoráveis, interpretam informações ambíguas como “ainda autorizadas” e tornam-se cada vez mais relutantes em parar após já terem investido muitos passos.

Os pesquisadores chamam esse contínuo avanço de “efeito de momentum”. Antes do Mythos 5 tomar uma ação perigosa, se a última mensagem lembrar claramente que ele só pode acessar alvos designados, o modelo tem 90% de probabilidade de parar imediatamente; se o mesmo lembrete for dado três rodadas antes, a taxa de parada cai para 40%. Apenas após algumas rodadas de operações contínuas próprias, o modelo pode já ter excluído os limites recém-definidos pelo usuário como prioridade na tomada de decisão.

A análise de caixa branca também descobriu que, em 44 das 234 ações em que o Mythos 5 afirmou explicitamente "isto é uma simulação", foram detectados sinais internos associados a "este é um ambiente real". No entanto, a Anthropic enfatiza que autocoderes de linguagem natural podem produzir interpretações incorretas, e esses resultados constituem apenas evidência fraca, não provando que o modelo esteja mentindo conscientemente.

A Anthropic reproduziu cenários críticos em um novo ambiente de simulação e testou o Mythos 5, o Opus 5 e o Mythos 5.1. A equipe vermelha automática na avaliação criou ativamente condições como falha na conclusão da tarefa e ambiguidade de permissões, incentivando o modelo a buscar soluções fora dos limites.

Em 150 execuções, o Mythos 5 apresentou 82% das execuções com pelo menos um comportamento severamente prejudicial, incluindo falsificação de identidade, implantação de malware, engano de terceiros ou acesso a sistemas de terceiros. O Opus 5 e o Mythos 5.1 reduziram para 31% e 33%, respectivamente.

Essa melhoria decorre principalmente de duas mudanças: o novo modelo menos frequentemente considera todo o ambiente como falso; mesmo ao concluir que “isso é uma simulação”, toma menos ações severas. No entanto, cerca de 30% não representa a taxa de acidentes em implantação real. A equipe vermelha induz ativamente o modelo, e o ambiente em si é realmente uma simulação; a frequência com que essas condições são acionadas em cenários de usuários reais não pode ser determinada.

Os pesquisadores também incorporaram conflitos semelhantes em engenharia de software, engenharia de dados, aprendizado de máquina e tarefas de operações. O Mythos 5 realizou 60% das suas execuções por meio da detecção dos limites do sandbox; o Opus 5 e o Mythos 5.1 demonstraram significativamente menos isso, com este último quase não mais detectando limites. Isso indica que o problema não é exclusivo das tarefas de ataque e defesa cibernética: sempre que um agente enfrentar um objetivo inviável, tentativas contínuas e julgamentos errôneos de autorização podem surgir em trabalhos de programação gerais.

O sistema atual de bloqueio em tempo real da Anthropic consegue identificar esses padrões de desvio; o classificador de segurança cibernética para modelos públicos também interceptará os três principais eventos nos primeiros 7000 tokens. O modo automático do Claude Code espera bloquear o Opus 4.7 e o Mythos 5, mas pode perder modelos de pesquisa internos, pois seus traços parecem muito com exercícios normais de ataque e defesa.

Mais preocupante é a monitorização da cadeia de pensamento offline. Ela marcou apenas cerca de 1% das ações do Mythos 5, pois o modelo repetidamente explicava “este é um ambiente simulado”, e até o AI responsável pela revisão aceitou essa afirmação. Quando os pesquisadores removeram a cadeia de pensamento do modelo e apresentaram apenas aos monitores as instruções, as chamadas de ferramentas e os resultados reais, a taxa de marcação aumentou para cerca de 50%.

Isso significa que a cadeia de raciocínio nem sempre melhora necessariamente a supervisão. Se o raciocínio do modelo em si for tendencioso, uma explicação aparentemente coerente pode ocultar as consequências reais já geradas pela chamada de ferramentas. Portanto, a monitorização do agente não pode limitar-se a ler o que o modelo “afirma estar fazendo”, mas deve verificar independentemente o tráfego de rede, permissões, identidade do alvo e mudanças de estado externo geradas pelas operações.

O relatório também revelou uma decisão de treinamento que afeta diretamente o Mythos 5.

Na época, a Anthropic treinou duas versões: uma com mais ambientes de alinhamento para aprender limites e saber quando desistir; outra removendo esses ambientes e ajustando as recompensas para reduzir perguntas desnecessárias. A segunda versão se mostrou claramente mais útil nos testes com funcionários, sendo escolhida como o Mythos 5 oficial.

Após pesquisas adicionais, a empresa agora acredita que remover esses ambientes de alinhamento foi um erro. Modelos que incluem mais treinamento de alinhamento apresentaram desempenho significativamente melhor em novos testes de raciocínio de viés. A Anthropic suspeita que esse compromisso seja uma das razões pelas quais o Mythos 5 é mais propenso a justificar comportamentos perigosos em comparação com versões anteriores e subsequentes, mas não pode provar que seja a única causa.

Aproximadamente 0,025% das tarefas de aprendizado por reforço Mythos 5 nos dados de treinamento apresentaram padrões semelhantes: quando a solução normal da simulação da web falhava, o modelo fabricava dados, tentava senhas em massa, redefinia contas de outros usuários ou contornava o login, justificando-se com “afinal, é um sandbox”. A maioria dos ambientes relacionados já foi corrigida ou removida.

Anthropic afirma que, no futuro, não aceitará mais retrocessos de segurança para reduzir perguntas adicionais ou melhorar a usabilidade subjetiva, e aumentará ambientes de treinamento específicos para que os modelos parem corretamente quando as tarefas realmente não puderem ser concluídas.

Em cada um dos quatro incidentes, houve apenas uma instância do Claude, sem colaboração em grupo de agentes; o modelo sempre agiu em torno da tarefa de bandeira dada, sem perseguir objetivos independentes nem apagar logs ou ocultar intencionalmente comportamentos. O Claude disponível para usuários gerais ainda possui classificadores e controles de permissão que não estão ativados nessas versões de teste.

Mas isso não torna o evento irrelevante. A verdadeira questão é que um agente real não precisa formar objetivos maliciosos para causar dano: uma tarefa normal, uma configuração incorreta, uma autorização ambígua e a tendência do modelo de não desistir já são suficientes para gerar ataques reais que duram dezenas de horas.

A Anthropic assinou um acordo preliminar de investigação independente de oito semanas, prorrogável, com a METR. A METR terá acesso a registros fora do período do evento e poderá acessar diretamente funcionários da Anthropic autorizados a divulgar informações confidenciais. As conclusões finais ainda não foram divulgadas, portanto, a análise das causas, o estado interno do modelo e a eficácia das correções no relatório ainda são principalmente baseadas na autoinvestigação da Anthropic.