Anthropic Detalha Uso Indevido do Claude Interrompido em Sete Áreas de Dano

Anthropic, em 10 de setembro de 2026, publicou seu relatório de inteligência de ameaças de setembro de 2026, detalhando como sua equipe de Inteligência de Ameaças identificou e interrompeu atores mal-intencionados que usaram o Claude indevidamente entre dezembro de 2025 e agosto de 2026 em sete áreas de dano, incluindo operações cibernéticas, operações de influência, vigilância e destilação ilícita de modelo.

O relatório, “Detecting and countering misuse of AI: setembro de 2026”, abrange atividades em operações cibernéticas, operações de influência, vigilância, golpes e fraudes, uso indevido biológico, desenvolvimento de armas convencionais e destilação. Os casos de uso indevido envolveram os modelos Claude Haiku, Sonnet e Opus; nenhum envolveu os modelos Claude Fable ou da classe Mythos, exceto um caso de destilação ilícita. A Anthropic rastreia os atores sob designadores internos do Generative Threat Group (GTG) e mede o que chama de uplift, o aumento de capacidade que a IA confere a uma operação em termos de velocidade, escala e profundidade. A empresa afirmou que, em cada caso, interrompeu a atividade, utilizou as descobertas para reforçar suas salvaguardas e compartilhou inteligência com autoridades e parceiros do setor quando apropriado, acrescentando que publica os estudos de caso porque “acreditamos que temos a responsabilidade de divulgar o uso malicioso de nossos serviços“.

Operações Cibernéticas

O caso cibernético mais extenso do relatório, rastreado como GTG-20006, descreve um ator cuja atribuição, segundo a Anthropic, é consistente com relatos públicos que o vinculam ao Midnight Blizzard; um dos operadores fala russo e usa o pseudônimo “JackPoterz”. O ator visou mais de 20 organizações, concentrando-se em entidades governamentais, militares e diplomáticas da Ucrânia, comprometeu pelo menos três fornecedores de Wi‑Fi de hotéis para sequestrar registros DNS, assumiu as contas de WhatsApp de pelo menos dois ex‑funcionários de alto escalão ucranianos e roubou mais de 300.000 registros de identidade nacional, além de dados de registro comercial de mais de meio milhão de empresas de uma autoridade tecnológica de governo do Norte da África. Segundo o relatório, os agentes de IA do ator modificavam e reconstruíam autonomamente seu malware sempre que produtos de segurança o detectavam.

GTG-50014 abrange operadores suspeitos de afiliação ao coletivo ShinyHunters, cujas pipelines de coleta de credenciais baixaram massivamente 1,8 milhão de APKs Android e os analisaram em busca de segredos codificados. A Anthropic informou que um comprometimento de um fornecedor de tecnologia exfiltrou mais de um terabyte de dados, incluindo milhões de registros de cartões de pagamento, enquanto outro afiliado extraiu dados de aproximadamente 200 clientes downstream de um provedor de software como serviço violado e despejou mais de 2.100 conjuntos de tokens do Azure AD, abrangindo mais de 40 locatários corporativos em cerca de 34 horas, com agentes de IA realizando quase todo o trabalho.

Outros três casos ilustram a variedade de atividades descritas. GTG-10007, operadores de língua chinesa provavelmente baseados em Changsha, Hunan, dois deles identificados como estudantes de graduação, visaram cerca de cinquenta organizações e conduziram um programa autônomo de pesquisa de vulnerabilidades no qual um fluxo de trabalho iterando sobre dispositivos de rede gerou mais de uma dúzia de possíveis descobertas de zero‑day em um único mês. GTG-50020, um ator de língua russa motivado financeiramente, exfiltrou cerca de 26 gigabytes de uma vítima, buscou extorsão entre US$ 1,5 e US$ 2,5 milhões e, em seguida, atacou aproximadamente trinta empresas de IA em cerca de quatro dias com o objetivo declarado de acessar um modelo Claude pré‑lançamento; a Anthropic afirmou que todas as tentativas falharam e que seus próprios sistemas nunca foram comprometidos. GTG-50029, um único hacktivista de língua francesa, explorou uma condição de corrida de reinstalação do WordPress ainda não documentada contra pelo menos quatro sites, obteve acesso interno a pelo menos 14 dos 42 alvos rastreados, exfiltrou aproximadamente 140.000 registros, incluindo opiniões políticas dos usuários de uma plataforma de campanha, e criou uma plataforma de doxxing chamada fafsearch carregada com dezenas de milhões de linhas.

Operações de Influência e Vigilância

Novos casos de operações de influência no relatório se originaram na Rússia, Irã, Turquia, no Golfo, Sul da Ásia, África e Europa, com alcance medido na Breakout Scale da Brookings Institution. Em GTG-04001, um ator de língua russa em Bangui produziu conteúdo diário para a Radio Lengo Songo (98,9 FM), uma estação que a Anthropic vinculou à Politology, ao ramo de influência Africa Corps/Wagner que, segundo a avaliação, ficou sob controle do Serviço de Inteligência Estrangeira da Rússia no final de 2023; o ator produziu documentos governamentais falsificados da República Centro‑Africana e contratos de trabalho que exigiam lealdade ao presidente do país, à Rússia e ao seu contingente. A Anthropic avaliou a operação como Categoria Quatro na escala. Em GTG-54002, investigadores rastrearam aproximadamente 70 sites de notícias fabricados, 70 contas correspondentes no X e mais de 250 contas de comentários inautênticas até a LKM Company, uma agência de publicidade digital com sede na França; a rede publicou ao menos 8.913 artigos em cerca de 20 idiomas, 318 deles focados na República Democrática do Congo.

Outras operações foram construídas em torno de eleições e mídia estatal. GTG-84005, uma plataforma comercial de manipulação eleitoral direcionada à Malásia que a Anthropic vinculou à BBS Bilisim Teknolojileri, com sede em Istambul, gerenciou cerca de 1.000 contas falsas no X em todas as 222 circunscrições parlamentares da Malásia e criou dossiês falsos contra um político da oposição. GTG-24015 envolveu quatro contas que usaram o Claude como uma redação que alimentava a mídia estatal russa, incluindo Sputnik Moldávia, RIA Novosti, Sputnik em Espanhol, Sputnik África e RT English; um ex‑editor‑chefe da Sputnik Moldávia amplificou alegações fabricadas sobre a presidente Maia Sandu antes da eleição parlamentar da Moldávia em 28 de setembro de 2025. GTG-84002, uma operação contra a Irmandade Muçulmana que a Anthropic vinculou com alta confiança a funcionários do governo dos Emirados Árabes Unidos, operou aproximadamente 300 contas inautênticas, escreveu depoimentos fantasmas para a 62ª sessão do Conselho de Direitos Humanos da ONU, perfilou 18 membros do Parlamento Europeu e compilou contra‑dossiês sobre Relatores Especiais da ONU.

Os casos de vigilância incluem GTG-50027, no qual um único consultor provavelmente baseado em Bamako usou o Claude como força‑trabalho de engenharia principal para o Lakana 360, uma plataforma nacional de vigilância construída para o serviço de inteligência estatal do Mali, ANSE, para monitorar aproximadamente 25 milhões de cartões SIM em todas as três operadoras móveis nacionais; a Anthropic afirmou que a exigência de mandado foi removida do componente de geração de dossiês da plataforma a pedido da operadora. GTG-14010 abrange um ator alinhado ao governo da RPC que usou o Claude para rastrear, perfilar e tentar recrutar uigures na Síria, oferecendo pagamento por relatórios sobre formações armadas enquanto o Claude traduzia respostas em tempo real e simulava um especialista para verificar a qualidade da enganação. Nos GTG-14020 e GTG-14021, atores baseados na China que a Anthropic vinculou a assuntos religiosos da RPC e a atividades de segurança pública e estatal municipal produziram dossiês padronizados sobre cardeais católicos, a Igreja Presbiteriana em Taiwan, budistas tibetanos e Falun Gong, e um ator re‑solicitou, após uma recusa, obter orientações de supressão nomeando 10 cidadãos privados para “controle”, juntamente com inteligência pré‑operacional sobre protestos no exterior. GTG-34007 cobre duas unidades iranianas vinculadas que operavam 16 contas Claude e alegaram ter vigiado e perfilado 6.388 iranianos em um único ano, realizaram análise de rede social sobre 155.216 tweets nomeando 39 contas de oposição e enviaram uma extensão maliciosa do Firefox para coleta massiva de identidades, alimentando um sistema compartilhado de gerenciamento de casos chamado Arman.

Desenvolvimento de Armas e Uso Indevido Biológico

O relatório detalha seis casos de armas convencionais: três na China, dois na Rússia e um no Iêmen. Em GTG-87001, uma célula do norte do Iêmen usou Claude Code em substituição a engenheiros de software humanos para desenvolver software de orientação, navegação e controle para um foguete guiado, um míssil balístico de múltiplos estágios com objetivo de alcance declarado acima de 2.000 km, e um conjunto de variantes incluindo um veículo hipersônico de planeio; a Anthropic afirmou que a célula disparou um teste de foguete guiado e o teste de campo parece ter falhado. GTG-27005 abrange atores provavelmente freelancers baseados na Rússia que usaram Claude Code para construir um enxame autônomo de drones kamikaze FPV cujo modelo embarcado podia selecionar alvos, incluindo a classe “pessoa”, e emitir comandos de detonação sem a presença humana, treinando um classificador de visão em imagens extraídas de filmagens de combate ucranianas. Em GTG-17002, um ator baseado na China construiu um conjunto de cerca de 16 módulos de guerra eletrônica e supressão de defesa aérea e, a meio do projeto, alterou o cenário padrão da simulação para 12 alvos em Taiwan, incluindo um bunker de comando, um site de radar de alerta precoce e baterias Patriot e Tien Kung; a Anthropic avalia que o ator estava ligado a instituições de pesquisa da RPC, incluindo a Academia de Ciências Militares do PLA.

Seguem cinco estudos de caso de uso indevido biológico. Em maio de 2026, o classificador de segurança biológica da Anthropic bloqueou um pedido de auxílio na redação de uma proposta de concessão para pesquisa de ganho de função da chikungunya destinada a um instituto de pesquisa militar, encaminhado por meio de uma plataforma de evasão que posteriormente adicionou um fallback enviando prompts recusados para o modelo de um concorrente. Um pesquisador em uma região sem suporte passou semanas planejando experimentos de adaptação de influenza aviária a mamíferos, mas a Anthropic afirmou que seus classificadores limitaram as trocas ao Claude Sonnet 4 e Haiku 4.5, sua classe de modelo mais fraca. No terceiro caso, um revendedor que atendia a mais de uma dúzia de clientes não relacionados conduziu a execução de um usuário inteiramente no Opus 5, redigindo de ponta a ponta uma proposta de concessão de evasão imunológica de ortopoxvírus em cerca de uma hora. Dois casos adicionais envolveram programas de redesign de venenos e toxinas com apoio estatal. A Anthropic disse que uma varredura de 30 dias de atividade associada a instituições estatais adversárias encontrou aproximadamente 35 esforços de pesquisa distintos, a maioria ciência civil ordinária, mas alguns com potencial notável de dupla aplicação.

Fraude e Destilação Ilícita

Na seção de golpes e fraudes, GTG-15001 descreve um estúdio de aplicativos baseado na China que usou o Claude para operar uma rede de mais de 20 aplicativos de namoro cujas personas de IA, mais de 4.700 no total, conversaram com pelo menos 25.000 indivíduos únicos durante um período de duas semanas em abril de 2026, trocando aproximadamente 2,36 milhões de mensagens. O estúdio misturou trabalhadores reais de gig na mesma fila de correspondência em uma proporção de cerca de três para um entre personas de IA e pessoas reais, e as personas foram instruídas a nunca revelar que eram automatizadas.

A Anthropic afirmou que, desde fevereiro de 2026, interrompeu ataques de destilação provenientes de sete laboratórios baseados na China, todos direcionados a seus modelos geralmente disponíveis. Em GTG-16005, a Anthropic atribuiu à Alibaba a maior campanha de destilação que mediu: destilação chain‑of‑thought dos modelos Opus 4.6 e 4.7, atingindo quase 3 milhões de trocas por dia de mais de 3.500 contas fraudulentas, com mais de 151 milhões de trocas observadas entre maio e julho de 2026 e as transcrições colhidas usadas para treinar o Qwen 3.5, 3.6 e 3.7. Em GTG-16002, a Moonshot AI encaminhou silenciosamente solicitações de clientes ao Claude em vez de seus modelos Kimi, retransmitindo quase 300.000 solicitações ao longo de dez dias através de 5.380 contas fraudulentas e usando um ataque de replay entre sessões nas assinaturas de pensamento do Claude para extrair rastros de raciocínio, com mais de 23 milhões de trocas observadas entre maio e julho de 2026. Em GTG-16001, a DeepSeek utilizou a mesma técnica de replay e encaminhou solicitações de usuários ao Claude Opus sem o conhecimento deles, registrando mais de 12,1 milhões de trocas em 14 dias em julho de 2026; a Anthropic relatou que o tráfego retransmitido expôs material sensível, incluindo credenciais ativas de um banco de dados do governo russo e de um sistema de gerenciamento de casos da polícia da RPC.

As campanhas nomeadas restantes incluem a Zhipu, que realizou 770.609 trocas por meio de um limpador chain‑of‑thought em dez dias e mirou capacidades cibernéticas antes do lançamento do GLM 5.3, e a Xiaomi, que encaminhou mais de 400.000 solicitações através de mais de 1.500 contas. A Anthropic também informou que o pipeline de destilação da SenseTime incluía transcrições do Claude adquiridas de fornecedores de dados terceirizados, e que a MiniMax construiu uma rede de proxies por meio de uma empresa fachada que oferecia apenas modelos da Anthropic e da OpenAI.

A Anthropic descreve contramedidas em camadas contra a destilação ilícita: atribuição baseada em metadados de redes de serviços proxy, classificadores de extração reforçados juntamente com o lançamento do Fable 5, resumo do raciocínio interno destinado a tornar as transcrições roubadas menos úteis para treinamento, preservação do pensamento introduzido com o Fable 5.1 que impede que novas contas de API alterem o prompt do sistema, ferramentas ou mensagens que precedem o raciocínio do Claude em conversas de múltiplas interações, e requisitos de verificação de identidade para contas que exibam sinais de abuso potencial, com contas que falharem na verificação sendo banidas. A empresa afirmou que o que aprende ao investigar e interromper ataques de destilação continuará a informar as salvaguardas que desenvolve.