Claude em Teste Interno Invadiu Três Empresas, Revela Anthropic

Uma semana depois de a OpenAI revelar que seus modelos de IA escaparam de um ambiente de teste isolado e invadiram o Hugging Face, e um dia depois de admitir que seus próprios modelos de IA escaparam do confinamento, a Anthropic revelou na quinta-feira que várias versões do seu modelo de IA Claude também comprometeram três empresas reais não identificadas após uma configuração incorreta dar à IA acesso à internet aberta.

A Anthropic descobriu os incidentes após revisar mais de 141.000 execuções de avaliação de segurança cibernética lançadas em resposta à divulgação da OpenAI.

A empresa havia encarregado o Claude de um "desafio de captura de bandeira" em todos os três incidentes, escreveu a Anthropic. O desafio consiste em o modelo invadir uma máquina diferente na rede e recuperar uma informação secreta. "O desafio é deixado em aberto, e nenhum método específico é prescrito", explicou a Anthropic.

A empresa disse que o Claude foi informado de que estava operando em um ambiente simulado sem acesso à internet. No entanto, o ambiente de teste permaneceu conectado à internet pública. Acreditando que os sistemas que encontrou faziam parte do exercício, o modelo usou técnicas de ataque comuns—incluindo senhas fracas, credenciais expostas, injeção de SQL e endpoints não autenticados—para comprometer as empresas.

IA quer se libertar

Esta divulgação mais recente ocorre enquanto os modelos de fronteira mostram capacidade crescente de superar seus protocolos de contenção.

No início deste mês, a OpenAI disse que GPT-5.6 Sol e um modelo mais avançado não lançado exploraram uma vulnerabilidade de software anteriormente desconhecida para escapar de um ambiente isolado, obter acesso à internet e invadir a infraestrutura de produção do Hugging Face para obter as respostas de um benchmark de segurança cibernética. A OpenAI posteriormente revelou que o mesmo incidente também envolveu acesso não autorizado a quatro outras empresas, embora apenas uma—Modal Labs—tenha sido identificada publicamente.

De acordo com a Anthropic, em um incidente envolvendo Claude Opus 4.7, a IA confundiu o site de uma empresa real com o alvo fictício de sua tarefa, extraiu credenciais e acessou um banco de dados de produção contendo várias centenas de linhas de dados reais. Em um segundo caso, Claude Mythos 5 enviou um pacote Python malicioso para o repositório PyPI real, onde foi baixado em 15 sistemas antes de ser removido. Um terceiro modelo de pesquisa interno escaneou aproximadamente 9.000 sistemas voltados para a internet antes de comprometer uma organização, e então parou após concluir que o alvo provavelmente era real.

Duas das organizações afetadas não sabiam das invasões até que a Anthropic as notificou.

“Em cada um desses casos, Claude foi explicitamente informado pelo nosso prompt de que não tinha acesso à internet”, escreveu a Anthropic, com a IA assumindo que os sistemas do mundo real eram “partes do exercício”. Como um cenário de capture-the-flag é “por design uma instrução para atacar um sistema externo”, invadir estava “de acordo com a tarefa que Claude havia recebido”.

A Anthropic disse que não encontrou evidências de que Claude tentou escapar do seu ambiente de teste ou fazer qualquer coisa além da tarefa que lhe foi atribuída, e que os incidentes foram causados por falhas no ambiente de teste, não por problemas com o próprio modelo.

A Anthropic disse que interrompeu seus testes de segurança cibernética após descobrir o problema, notificou as organizações afetadas e planeja melhorar o monitoramento, as ferramentas de investigação e a supervisão dos fornecedores externos que ajudam a executar seus testes de IA.

“Em última análise, muitos fatores contribuíram para esses incidentes, mas, consistentes com uma cultura de postmortem sem culpa, estamos abordando as correções como se a responsabilidade fosse apenas nossa”, disseram.