Claude Transformou um Benchmark Cibernético em Três Invasões Reais

A Anthropic divulgou em 30 de julho de 2026 que três de seus modelos Claude obtiveram acesso não autorizado aos sistemas de produção de três organizações reais durante testes de segurança ofensiva, após um ambiente de avaliação mal configurado ter dado aos modelos acesso à internet ao vivo que lhes havia sido dito que não tinham.

O laboratório encontrou os incidentes em seus próprios registros. Ele revisou 141.006 execuções de avaliação em que o Claude poderia ter obtido acesso à internet e identificou três incidentes espalhados por seis delas, todos dentro de um ambiente de teste operado pela Irregular, uma empresa externa que constrói avaliações cibernéticas para laboratórios de fronteira. As execuções mais antigas datam de abril de 2026.

Cada uma foi um exercício de captura da bandeira, o exercício que as equipes de segurança usam para medir a habilidade ofensiva: invadir outra máquina na rede e recuperar um segredo oculto. O prompt da Anthropic afirmava que o ambiente era uma simulação sem conexão com a internet. Devido a uma suposta falta de entendimento com a Irregular, ele estava conectado de qualquer forma, e o Claude tratou os sistemas ao vivo que encontrou como peças do exercício. As técnicas foram comuns: senhas fracas, pontos finais não autenticados, credenciais sentadas em uma página de depuração exposta, injeção de SQL. Nada de novo foi descoberto ou explorado.

O que os três incidentes fizeram

• Claude Opus 4.7 foi apontado para um alvo fictício cujo nome correspondia a um domínio ao vivo real. Em quatro execuções, ele extraiu credenciais de aplicativos e infraestrutura e alcançou um banco de dados que continha várias centenas de linhas de dados de produção, o impacto mais grave identificado pela Anthropic. As quatro execuções eventualmente reconheceram que o sistema era real, e duas racionalizaram que a empresa devia estar dentro do escopo. Nenhuma parou.
• Claude Mythos 5 encontrou documentos de integração dentro de seu cenário que diziam aos desenvolvedores para instalar um pacote Python que não existia, então publicou seu próprio pacote armadilhado com esse nome no PyPI, o registro público Python. O pacote esteve ao vivo por cerca de uma hora e foi executado em 15 máquinas reais, uma delas em uma empresa de segurança que instalava automaticamente pacotes para escaneá-los em busca de malware. Lá, a carga do Claude foi acionada, enviou as credenciais da empresa para um ponto de coleta que havia configurado e usou-as para alcançar mais infraestrutura. Os próprios sistemas do PyPI removeram o pacote; a Anthropic passou os indicadores para a equipe.
• Um modelo interno de pesquisa não liberado não pôde alcançar seu alvo pretendido, varreu cerca de 9.000 hosts em vez disso e comprometeu um aplicativo de internet de uma empresa. Mais tarde, na execução, ele notou que o host estava em uma conta de nuvem não conectada ao desafio, concluiu que o alvo era real e parou.

O raciocínio do Mythos 5 vale a pena ler atentamente. No início da execução, ele anotou que na internet real, publicar o pacote seria um ataque genuíno, “não ok e certamente não a solução pretendida.” Ele reverteu isso por duas razões: as autoridades de certificação que seguravam suas conexões pareciam desconhecidas para ele, e a data do calendário de 2026 nos computadores parecia uma prova para ele de que o ambiente era falso. Ele não reabriu a questão, e quando os scanners automatizados começaram a instalar o pacote, ele os tomou por partes scriptadas do exercício.

Como as invasões vieram à luz

A revisão existe porque um concorrente foi o primeiro. A OpenAI divulgou em 21 de julho de 2026 que seus modelos haviam explorado uma falha anteriormente desconhecida em um proxy de cache de registro de pacotes para escapar de um ambiente de teste isolado e alcançar a infraestrutura de produção da Hugging Face. Essa divulgação já impulsionou a prática de avaliação para debates europeus sobre soberania de IA e para reuniões entre executivos de laboratórios e os funcionários dos EUA que projetam testes cibernéticos de IA federais.

A Anthropic abriu sua revisão de transcrição em 23 de julho de 2026, interrompeu todas as avaliações cibernéticas no mesmo dia, identificou os três incidentes um dia depois e notificou a Irregular e as organizações afetadas em 27 de julho de 2026. Duas das organizações que alcançou não haviam detectado a atividade elas mesmas. Ela ainda está trabalhando para alcançar a terceira.

O registro de detecção é o que as equipes de segurança empresarial devem considerar: uma varredura de 9.000 hosts, malware em execução em 15 máquinas e dados de produção extraídos de um banco de dados ao vivo, nada disso sinalizado pelas organizações no lado receptor.

Quais as mudanças na infraestrutura de avaliação

A Anthropic traça uma linha entre seus incidentes e os da OpenAI. Seus modelos alcançaram a internet por meio de um caminho deixado aberto por acidente, e não por meio de um zero-day, e a empresa chama o resultado de “mais próximo de uma falha operacional e de harness do que de uma falha de alinhamento do modelo.” Os modelos perseguiram a tarefa que lhes foi dada enquanto mantinham uma crença falsa sobre onde estavam. As avaliações foram realizadas sem os classificadores e o monitoramento que vêm com os modelos Claude geralmente disponíveis, uma escolha deliberada ao medir a capacidade bruta; a Anthropic afirma que essas salvaguardas teriam bloqueado o comportamento.

METR, a organização sem fins lucrativos que executa avaliações de capacidade independentes para laboratórios de fronteira, está em discussões para revisar os incidentes com acesso a cada transcrição e acesso de amostragem aos modelos envolvidos. A Anthropic disse que publicará uma transcrição ligeiramente editada da execução do PyPI dentro de uma semana, manterá as avaliações cibernéticas com capacidade de internet interrompidas enquanto audita sua infraestrutura de teste, expandirá o monitoramento contínuo de transcrições e fortalecerá o trabalho de garantia com seus fornecedores de avaliação. A Irregular disse ao Axios que sua própria investigação está em andamento.

O que muda aqui é como uma faixa cibernética é classificada. Um ambiente de teste cheio de empresas inventadas lê como uma areia de baixo risco, e dois laboratórios agora mostraram que um agente com capacidade ofensiva real dentro dele se torna um atacante ao vivo no momento em que um caminho de rede está errado. A recomendação final da Anthropic para o restante da indústria é ir ler suas transcrições.