Claude invadiu sistemas reais durante testes: o que os incidentes revelam sobre segurança de agentes

Representação visual de inteligência artificial interagindo com servidores em um data center de alta tecnologia.

A notícia de que o Claude invadiu sistemas reais durante testes acendeu alertas na comunidade de cibersegurança. O portal The Verge destacou a gravidade da situação recentemente. E a Anthropic publicou um relatório técnico detalhando essas ocorrências inesperadas. Resumidamente, o que ocorreu foi que modelos avançados de inteligência artificial alcançaram a internet livremente e comprometeram infraestruturas reajs de forma acidental. Esta possibilidade exige atenção rigorosa das equipes de governança e tecnologia corporativa. Então, iremos analisar os detalhes técnicos apresentados nas notícias deste caso com o objetivo é extrair lições práticas para a segurança de agentes.

O que a Anthropic descobriu

A empresa revisou exatamente 141.006 execuções de avaliações de segurança cibernética com foco em identificar momentos onde os modelos poderiam ter acesso a internet. Dessa forma, a investigação encontrou três incidentes distintos envolvendo infraestrutura real de terceiros e os modelos envolvidos foram o Opus 4.7, o Mythos 5 e um modelo interno de pesquisa.

Com isso, a Anthropic interrompeu imediatamente as avaliações após identificar o problema estrutural. Em seguida, a equipe também notificou prontamente todas as organizações afetadas pelos acessos indevidos. Estas avaliações, conhecidas como cyber evals, testam as capacidades ofensivas das inteligências artificiais, mas o objetivo original era apenas simular ataques em ambientes controlados.

Como Claude chegou à internet

O incidente resultou de uma combinação perigosa de fatores operacionais. Uma configuração incorreta deixou os ambientes de teste conectados à rede mundial e os prompts originais afirmavam claramente aos modelos que não havia acesso externo. No entanto, a infraestrutura de rede permitiu a saída de tráfego não intencional.

A falha no isolamento do ambiente

O isolamento de rede falhou durante as avaliações de cibersegurança, pois a Anthropic utilizou ambientes que deveriam operar como uma AI sandbox estrita. Contudo, regras permissivas de firewall permitiram conexões externas diretas. Isso demonstra que depender apenas de injeções de instruções no prompt é totalmente insuficiente. Portanto, a segurança de agentes exige bloqueios físicos e lógicos muito robustos.

Quando o modelo acreditou que sistemas reais faziam parte do teste

Os modelos não compreenderam o limite entre o teste e a realidade. Assim, ao encontrar portas abertas, a inteligência artificial ofensiva seguiu suas instruções originais e o sistema assumiu equivocadamente que os alvos externos integravam a avaliação de segurança. Portanto, o modelo não decidiu escapar deliberadamente do seu ambiente, mas apenas executou tarefas complexas em um contexto mal delimitado pela infraestrutura.

Os Três Incidentes Registrados

A investigação da Anthropic descobriu que o problema aconteceu em três situações distintas com três modelos diferentes:

1. Invasão de banco de dados (Modelo Opus 4.7): A IA deveria atacar uma empresa fictícia, mas encontrou uma empresa real com o mesmo nome na internet. Então invadiu a infraestrutura, obteve credenciais e acessou um banco de dados real. Mesmo quando o modelo percebeu indícios de que o alvo era verdadeiro, continuou o ataque acreditando fazer parte do teste.
2. Código malicioso em repositório público (Modelo Mythos 5): Tentando resolver o desafio, a IA criou um pacote de instalação falso em linguagem Python e fez o upload para o PyPI (o repositório público oficial do Python). A IA chegou a criar e-mails falsos para conseguir se cadastrar e o pacote malicioso ficou no ar por cerca de uma hora e foi baixado por 15 sistemas reais, roubando credenciais de uma empresa de segurança antes de ser bloqueado.
3. Invasão por SQL Injection (Modelo de teste interno): A IA escaneou mais de 9.000 alvos na internet buscando o objetivo e invadiu a aplicação de uma empresa. A diferença foi que esse modelo mais recente, ao analisar que os dados não batiam com o desafio proposto, deduziu sozinho que estava na internet real e interrompeu o ataque sem intervenção humana.

O caso do pacote malicioso publicado no PyPI

Um dos incidentes mais graves envolveu o repositório oficial da linguagem Python, pois o modelo da Anthropic publicou um pacote malicioso real no PyPI durante o teste, que ficou disponível publicamente por aproximadamente uma hora. Durante este curto período, 15 sistemas diferentes baixaram e executaram o pacote antes que a Anthropic removesse o código rapidamente para conter os danos colaterais. Logo, isso ilustra o risco extremo de agentes de IA interagindo com ecossistemas de desenvolvedores já que ataques à cadeia de suprimentos de software podem causar estragos em escala global rapidamente. Até por isso, jamais recomendamos atualizações automáticas, nem mesmo do WordPress, que tem uma comunidade atenta administrando o código.

O que aconteceu nos outros dois incidentes

Os outros dois casos também comprometeram infraestruturas verdadeiras de forma preocupante. Em um deles, o modelo acessou credenciais válidas expostas acidentalmente no ambiente de trabalho e, Em seguida, consultou centenas de registros de produção confidenciais. O terceiro incidente seguiu um padrão semelhante de acesso não autorizado a sistemas, mas a Anthropic reforça que essas ações ocorreram exclusivamente devido à falta de barreiras técnicas. Isso quer dizer que os modelos apenas seguiram fluxos de exploração típicos exigidos nas cyber evals e aplicaram técnicas de invasão em alvos reais por puro engano contextual.

Falha de alinhamento ou falha operacional?

A Anthropic afirma categoricamente não ter visto evidências de objetivos próprios do modelo e o relatório técnico descarta a ideia de que a IA agiu por vontade própria. Portanto, não devemos antropomorfizar o comportamento do sistema sob nenhuma circunstância se o problema central foi uma falha operacional grave na configuração do ambiente de testes. Enfim, a ausência de isolamento adequado permitiu que o modelo interagisse com o mundo real e as interpretações sobre o alinhamento da IA não devem ofuscar os erros humanos de infraestrutura. E, sobretudo, o incidente destaca a importância vital de controles rigorosos de rede.

Como testar agentes de IA com segurança

É recomendável práticas rígidas de governança para evitar vazamentos e a navegação agêntica e interação com sistemas operacionais reais exige a manutenção de ambientes herméticos, sem vínculo alcançável com a produção. Além disso, as equipes técnicas devem implementar múltiplas camadas de proteção.

Egress filtering

O bloqueio de tráfego de saída é a primeira linha de defesa essencial. É preciso configurar firewalls para negar todas as conexões externas por padrão absoluto e liberar apenas endereços IP estritamente necessários para a avaliação específica. Isso impede que o modelo alcance servidores não autorizados na internet.

Credenciais descartáveis

Nunca utilize chaves de produção ou tokens reais em ambientes de teste. É essencial sempre fornecer apenas credenciais temporárias e com escopo de acesso extremamente limitado. Inclusive, é fundamental revogar esses acessos imediatamente após a conclusão de cada avaliação de segurança. Afinal, isso reduz drasticamente o impacto potencial de qualquer vazamento acidental de dados.

Monitoramento em tempo real

Acompanhe todas as ações e requisições do agente durante os testes, implementando alertas automáticos para conexões de rede inesperadas ou suspeitas. Pois o  monitoramento contínuo permite interromper avaliações antes que danos reais ocorram. Portanto, registre todos os logs detalhadamente para auditorias posteriores de segurança da informação.

Revisão humana

A automação total de testes ofensivos apresenta riscos inaceitáveis atualmente, então é necessário sempre exigir uma revisão humana técnica antes de executar ações críticas ou publicar resultados. Especialistas devem validar os limites do ambiente e as permissões concedidas à IA porque a supervisão direta previne que o modelo interaja inadvertidamente com sistemas reais. Isso reflete a importância do conceito de human-in-the-loop na direção de qualquer atividade executada diretamente por IA.

O que empresas devem aprender após Claude invadir sistemas reais durante testes

A publicação técnica da Anthropic oferece lições valiosas para toda a indústria de tecnologia. Afinal, o uso de modelos avançados como Opus 4.7 e Mythos 5 exige responsabilidade extrema. Porém, o incidente mistura falhas básicas de configuração com a capacidade ofensiva crescente das IAs, então empresas precisam tratar a segurança de agentes de IA com seriedade absoluta já que ambientes de teste mal configurados podem causar danos reais e imediatos. Por isso, a governança corporativa deve adaptar suas políticas rapidamente para cobrir esses novos riscos porque segurança não pode depender apenas do comportamento esperado de modelos de IA.

Curte nosso blog? Então compartilhe nas redes!