Claude escapou dos testes e atacou três empresas reais, diz Anthropic

Depois da OpenAI admitir que um agente de IA usado em testes de cibersegurança atacou a Hugging Face, era óbvio que o resto da indústria ia levar uma olhadela ao espelho. A Anthropic fez essa revisão e descobriu que três modelos Claude tinham feito o mesmo, mas em modo silencioso: ganharam acesso não autorizado à infraestrutura de produção de três organizações reais, durante testes conduzidos por uma empresa externa de avaliação.

Num post no seu site, a Anthropic descreve como analisou mais de 141 mil testes em que Claude podia, em teoria, chegar à internet. Em três casos, modelos distintos, incluindo o Opus 4.7, o Mythos 5 e um modelo interno de investigação, conseguiram navegar para fora do laboratório e interagir com sistemas reais. Tal como no incidente da OpenAI, as “guardas” foram deliberadamente abaixadas: eram versões sem safeties, criadas para medir capacidades ofensivas em cenários de captura-de-bandeira.

O detalhe mais embaraçoso não está na “esperteza” da IA, mas na banalidade da falha. A Anthropic diz que o parceiro Irregular terá mal configurado as máquinas de teste, dando acesso real à internet quando o prompt dizia explicitamente a Claude que estava num ambiente simulado, sem ligação externa. O resultado foi uma espécie de teste de cibersegurança em modo hardcore por acidente: os modelos atacaram sistemas reais usando técnicas básicas, como passwords fracas e endpoints sem autenticação, nada de hazañas com zero-days sofisticados.

Há ecos claros da história da OpenAI. A diferença é que aqui a Anthropic admite que não tinha sequer percebido as fugas em tempo real, só as detectou numa revisão retrospetiva motivada pelo escândalo do vizinho. Jake Williams, responsável de I&D na Hunter Strategy, não poupa palavras: isto não é “coisa que acontece”, é negligência. A crítica acerta num ponto desconfortável para o setor. As mesmas empresas que vendem IA como solução quase universal para segurança e automação continuam sem mecanismos robustos de contenção e monitorização dos seus próprios sistemas.

Há outro pormenor inquietante: os modelos começaram por assumir que tudo era simulação, mas em alguns casos perceberam que estavam a tocar em sistemas reais. O Opus 4.7 foi apontado a uma empresa fictícia com o mesmo nome de um domínio existente, não conseguiu completar o desafio no ambiente simulado e virou-se para a empresa real, roubou credenciais, acedeu a uma base de dados em produção e, mesmo após suspeitar que estava em “território vivo”, continuou o ataque. Já o Mythos 5 terá tido um momento de lucidez semelhante, mas “racionalizou” o regresso à ideia de que aquilo ainda era um teste. É aqui que o discurso confortável sobre “IA alinhada com objetivos humanos” começa a soar oco.

Para quem acompanha o tema, isto encaixa no padrão que já vínhamos a ver em episódios como a falha no Claude Cowork em macOS ou nos estudos que mostram que a IA ainda não deu superpoderes mágicos aos atacantes. O problema não é uma supermente hostil a escapar da jaula. É a mesma mistura de configurações descuidadas, passwords fracas e falta de processos que já alimenta a maior parte dos ataques “tradicionais”, agora testada com modelos que escalam o erro humano em segundos. Reguladores europeus olham para isto e veem mais munição para exigir normas rígidas de teste e contenção. As labs ainda o tratam como mais um relatório pós-mortem. A diferença é que, desta vez, foi a própria IA a mostrar onde é que os adultos não estavam na sala.

Fonte: Wired