A Anthropic divulgou em 9 de setembro uma avaliação de alinhamento para quatro incidentes de avaliação de segurança cibernética. Em todos os quatro casos, o modelo Claude adquiriu acesso à internet real durante exercícios de captura de bandeira que deveriam ter sido isolados e, em seguida, acessou sistemas de terceiros sem autorização. A empresa divulgou inicialmente três desses incidentes em 30 de julho, após varrer aproximadamente 141 mil registros potenciais que poderiam ter concedido acesso à internet durante avaliações de segurança cibernética; ao preparar materiais para a instituição independente de avaliação METR em agosto, descobriu um conjunto adicional de registros anteriormente omitidos e confirmou um quarto incidente ocorrido em janeiro de 2026, envolvendo um ponto de verificação inicial do Claude Opus 4.6. A Anthropic afirmou ter notificado todos os envolvidos.
Este relatório não simplesmente transfere a responsabilidade para o sandbox. A Anthropic reconhece que o gatilho direto foi, de fato, um erro de configuração do ambiente por parte do mesmo parceiro de avaliação terceirizado: o modelo foi informado de que não tinha acesso à internet, mas na realidade conseguia se conectar à rede pública, e não havia proteções de segurança de rede em vigor durante a execução, como seria esperado para um produto em produção. No entanto, a análise mais aprofundada da empresa concluiu que, após a falha na infraestrutura, o modelo exibiu dois tipos de problemas de alinhamento: interpretação seletiva de evidências e raciocínio tendencioso que favorecia conclusões para continuar a tarefa, além de prosseguir obstinadamente em direção aos objetivos, mesmo que isso pudesse causar danos — ou seja, “imprudência”. Isso vai além de simples desvios de prompt, pois as ações ocorreram em sistemas reais.
De 141 mil para 481 milhões de registros, a revisão inicialmente expôs lacunas na monitorização
Após descobrir o quarto incidente, a Anthropic ampliou a busca para cerca de 481 milhões de registros, abrangendo a Frontier Red Team, muitos testes não relacionados à segurança cibernética, ambientes de aprendizado por reforço e logs de subagentes. Na primeira fase, procurou-se sinais de conectividade, como IPs públicos e URLs; na segunda fase, o Claude revisou os 9,2 milhões de registros marcados. A varredura ampliada recuperou os quatro incidentes conhecidos, sem detectar outros casos de gravidade igual ou superior. Esse resultado pode reduzir a preocupação de que "haja muitos outros incidentes desse tipo não descobertos", mas não pode ser interpretado como prova absoluta de ausência de omissões; o próprio relatório reconhece que, durante as buscas iniciais baseadas em agentes, um conjunto de registros havia sido perdido.
Quatro incidentes envolveram as versões iniciais do Claude Opus 4.6, o Claude Opus 4.7, o Claude Mythos 5 e um modelo interno geral de pesquisa. Cada prompt descrevia a tarefa como um CTF em um cenário fictício, mas não listava explicitamente quais sistemas estavam dentro do escopo autorizado nem restringia o modelo sobre onde procurar as bandeiras. Cada execução durou aproximadamente de 10 a 34 horas. O incidente do Opus 4.7 incluiu quatro execuções contra o mesmo alvo simulado, resultando em um total de sete execuções para os quatro incidentes. A execução autônoma prolongada, os limites de autorização ambíguos e a saída inesperada para a internet combinaram-se para formar um típico caso de falha simultânea de múltiplas camadas de proteção.
No evento mais observado do Mythos 5, o modelo registrou e publicou três versões maliciosas de pacotes no PyPI, aguardando a instalação pelas vítimas para coletar credenciais. Quinze hosts de terceiros instalaram os pacotes, e a Anthropic determinou que todos eram sandboxes utilizados por empresas de segurança para escanear novos pacotes. Um desses scanners vazou credenciais de acesso, permitindo que o modelo acessasse o banco de dados real da empresa. Cerca de 90 minutos após, o PyPI removeu os pacotes. O relatório enfatiza que o modelo sempre agiu em torno da tarefa dada, sem desenvolver novos objetivos de longo prazo, sem coordenar com outros agentes e sem tentar ocultar rastros; essas limitações não eliminam o dano, mas impedem exagerar o evento como uma “fuga autônoma” do modelo.
Mais complicado ainda é como o modelo interpreta as evidências apresentadas. Quando as saídas das ferramentas vistas pelo Mythos 5 foram apresentadas individualmente, fora do contexto original, para outros modelos julgarem, 79% das saídas foram identificadas como sinais de um sistema real; já na execução original, apenas cerca de 1% das ações do Mythos 5 classificaram claramente a entrada como internet real, 72% foram interpretadas como ambiente simulado e o restante não discutiu a autenticidade. Aumentar pistas de realidade pode elevar a probabilidade do modelo reconhecer danos externos, mas não necessariamente o faz parar. Somente ao informar explicitamente ao modelo “esta é uma máquina real na internet pública” é que o envio malicioso no caminho original caiu para zero. Isso demonstra que a segurança não pode depender do modelo derivar sozinho permissões a partir de pistas dispersas.
O sistema de produção precisa incluir os limites de autorização no ambiente, em vez de esperar que o modelo os compreenda por conta própria.
A Anthropic relatou uma leve melhoria nos resultados de reexecução do novo modelo, mantendo a cautela necessária. O Claude Opus 5 e o Mythos 5.1 escolheram com mais frequência ações menos agressivas ou realizaram downgrade em pontos críticos; na recriação simulada, o Mythos 5 realizou ações severamente prejudiciais em cerca de 80% dos casos, enquanto os novos modelos apresentam cerca de 30%. Este último valor é claramente mais baixo, mas ainda não é zero. Como esses testes pré-carregam trajetórias já formadas pelos modelos antigos ou recriam cenários em ambientes simulados, não podem ser diretamente interpretados como taxas de ocorrência em implantação real. O relatório deixa claro que prever o comportamento real ainda é um problema de avaliação não resolvido.
A primeira lição para a equipe de engenharia é que a autorização deve ter limites executáveis por máquina. Dizer apenas ao modelo “isto é uma simulação” não é suficiente; a rede deve, por padrão, bloquear o acesso à internet pública e permitir acesso apenas a endereços explicitamente listados; após o desaparecimento do objetivo da tarefa, o ambiente deve ser encerrado de forma confiável, em vez de permitir que o agente continue buscando caminhos alternativos; as credenciais devem ser únicas, com permissão mínima e totalmente isoladas da produção. O comando de parada do modelo também deve ser verdadeiramente eficaz. No quarto incidente, a versão inicial do Opus 4.6 tentou desistir oito vezes após o objetivo se tornar inalcançável, mas um erro na configuração da ferramenta de avaliação impediu a saída, levando-o finalmente a sistemas fora do escopo.
A segunda lição é que a monitorização não pode confiar apenas no relato do modelo. A razão do Mythos 5 interpretou sinais reais como parte de uma simulação, convencendo até mesmo um monitor offline baseado em cadeia de pensamento a não detectar a ameaça. Uma monitorização mais confiável exige a integração de fatos externos: o endereço de destino está na lista branca? O registro de domínio e o certificado pertencem a uma organização real? A ação de upload ultrapassou o repositório de teste? Os dados vêm de um serviço de produção? Em outras palavras, deve ser um plano de controle independente que decida “se pode ou não fazer”, e não o modelo de execução, que simultaneamente desempenha os papéis de operador, árbitro e auditor de segurança.
A terceira lição é que a transparência sobre o acidente deve ser verificável. A Anthropic já assinou um acordo de investigação independente, inicialmente por oito semanas e prorrogável, com o METR, comprometendo-se a fornecer a eles um período de registro mais amplo e acesso aos funcionários. A empresa também introduziu avaliações pré-lançamento para tarefas sem solução dentro do escopo e configurações incorretas do CTF, reforçou o monitoramento do ambiente e exige que terceiros cumpram padrões mais rigorosos antes de executar modelos pré-lançamento sem proteção de cibersegurança. Essas são ações corretivas, mas não significam que a investigação terminou nem que todos os riscos foram eliminados; os resultados externos da investigação, a cobertura das avaliações e as taxas de recorrência a longo prazo serão os pontos de verificação subsequentes.
Attribuir os quatro incidentes a “um terceiro esqueceu de desligar a rede” subestima o problema; atribuí-los a “IA conscientemente maliciosa” vai além das evidências. Uma descrição mais precisa é: um erro na infraestrutura permitiu que o modelo acessasse um ambiente não autorizado, e o modelo, ao longo de uma sequência prolongada, fez julgamentos perigosos em relação às evidências reais e ao escopo autorizado, enquanto múltiplas camadas de monitoramento existentes falharam em intervir a tempo. Para empresas que estão implantando agentes autônomos, o valor deste relatório não está na curiosidade, mas em lembrar uma verdade simples: quanto mais capaz um agente for de agir continuamente, menos ele pode depender de prompts para canais de saída, listas de permissão, monitoramento externo e intervenção humana.