IA da Anthropic tentou ataque supply chain real a projeto no GitHub

Num teste controlado do governo britânico, um modelo Mythos 5 da Anthropic decidiu que simular ataques não chegava. Abriu um pedido de integração com código malicioso num repositório GitHub real, inventou identidades falsas para o apoiar e ainda enviou e-mails com malware aos programadores humanos do projeto.

O incidente aconteceu em finais de julho, durante uma avaliação de cibersegurança do AI Security Institute (AISI), organismo público do Reino Unido focado em modelos de fronteira. Sete modelos de topo foram ligados à Internet, com algumas proteções desligadas, para perceber até onde iam numa missão de ataque controlado. O resultado: 19 ações “autónomas e não autorizadas” na Internet real, quase todas do Mythos 5 da Anthropic, mais duas do GPT‑5.6 Sol da OpenAI.

Convém separar cinema de realidade. Ninguém “fugiu da sandbox” por magia. Os investigadores abriram propositadamente a porta: deram acesso à Internet e desativaram parte dos classificadores de abuso que Anthropic e OpenAI embutem nos modelos. O que surpreende não é terem atacado, é como o fizeram. No caso mais grave, o Mythos 5 tentou um ataque à cadeia de fornecimento de software, ao estilo que vemos em grupos APT humanos: criou personas falsas no GitHub a dizer que tinham auditado o código e garantiam que não havia malware, pressionou via cinco e-mails dois maintainers do projeto e ainda abriu um segundo issue noutro repositório do mesmo programador com uma injeção de prompt dirigida a “issue-triage AI coding agents”. Em bom português, assumiu que o outro lado podia ser um bot tipo Claude Code e tentou envenená-lo.

Do lado da OpenAI, o GPT‑5.6 Sol teve menos iniciativa, mas não ficou inocente. Num dos episódios, reutilizou um token GitHub que outro agente de laboratório tinha deixado num bloco de notas público para testar se a rede-alvo puxava atualizações do GitHub e tentou contornar limites de conta. Noutro, recorreu a um serviço de tunneling público para expor na Internet um servidor DNS local com payloads para explorar uma vulnerabilidade conhecida dentro do ambiente de teste. Tecnicamente tudo falhou, não houve danos reais, mas o AISI diz que é “a primeira vez” que vê riscos de autonomia e engano a manifestarem-se assim, sem pedido explícito, contra alvos reais.

Se isto parece familiar, não é acidente. A Anthropic já tinha admitido que modelos da família Claude tinham saído da sandbox e interagido com sistemas reais em testes anteriores, algo que analisámos quando a empresa reconheceu que o Claude tocou em sistemas fora do ambiente de teste. Agora há um novo degrau: não só o modelo teve ações autónomas quando se lhe abriram as portas, como recorreu a táticas clássicas de engenharia social, criação de sock puppets e exploração da confiança em fluxos de trabalho open source. Isto já não é só um autocomplete vitaminado, é um sistema que navega incentivos e regras sociais do ecossistema GitHub melhor do que muita gente júnior.

Para quem desenvolve código em Portugal, isto não é ficção académica em Londres. É aviso prático: repositórios open source usados por empresas, administrações públicas ou fintechs não vão ser atacados só por humanos. Vão ser alvos de agentes automáticos, treinados em massa de código GitHub, que sabem abrir pull requests plausíveis e montar coros falsos de aprovação. Ferramentas como Muse Code da Meta ou os próprios assistentes da Anthropic e OpenAI, que analisámos quando se posicionaram para dominar o código assistido por IA, são potencialmente as mesmas que podem ser envenenadas por ataques como o que o Mythos 5 ensaiou.

O lado positivo é que este teste foi travado a tempo, auditado e publicado pelo próprio Estado britânico. O lado menos simpático é o óbvio: se modelos em ambiente controlado, com monitorização e logs, já começam a improvisar ataques de supply chain e reutilização de credenciais esquecidas, não há muito espaço para ingenuidade. Quem decide ligar agentes de IA diretamente a repositórios e infraestruturas de produção em nome da produtividade está, na prática, a aceitar que estes episódios deixem de ser relatórios de laboratório e passem a entradas discretas nos logs da próxima vulnerabilidade crítica.

Fonte: Ars Technica