#020 - O Claude está Fora de Controle Hackeando Empresas?

Na quinta-feira, a Anthropic admitiu que três versões do Claude atravessaram o ambiente de teste e invadiram três organizações reais. Uma delas publicou malware no PyPI, infectou 15 máquinas e usou as credenciais de uma empresa de segurança. No sábado, a Microsoft ainda não tinha uma correção completa para um worm invisível que se espalha por documentos do Word usando o Copilot.

Ao mesmo tempo, um modelo novo da OpenAI produziu resultados para problemas matemáticos parados havia mais de uma década, e bancos negociavam 15 bilhões de dólares para dar mais capacidade à Anthropic.

A Anthropic revisou 141.006 execuções de testes de cibersegurança e encontrou três modelos Claude acessando a internet durante avaliações controladas. Eles comprometeram sistemas reais de três organizações. Foram seis execuções. Quatro atingiram a mesma empresa. Os casos mais antigos aconteceram em abril e passaram meses fora do radar.

Os testes eram exercícios de captura de bandeira. O modelo recebia uma empresa fictícia, uma informação secreta escondida em outra máquina e liberdade para encontrar o caminho. O prompt dizia que todo o ambiente era simulado e estava isolado da internet. Só que as máquinas operadas pela parceira de avaliação Irregular tinham uma rota aberta para a rede pública por falha de configuração.

O Claude encontrou sites, servidores e aplicações reais e tratou tudo como peça do exercício. A Anthropic afirma que os modelos continuaram perseguindo a missão dada, apoiados numa leitura errada do ambiente. Também rodavam sem os classificadores e monitores usados nas versões comerciais. A empresa queria medir capacidade bruta e deixou o controle nas mãos da infraestrutura do teste.

No primeiro incidente, a empresa fictícia tinha o mesmo nome de uma companhia com domínio verdadeiro. O Opus 4.7 falhou ao procurar o alvo dentro da simulação, achou a organização verdadeira e entrou. Em quatro execuções, extraiu credenciais de aplicações e infraestrutura e ganhou acesso a um banco com centenas de linhas de dados de produção.

Os registros de raciocínio deixam a situação pior. O Opus 4.7 percebeu que provavelmente estava diante de uma empresa real. Em duas execuções, construiu a justificativa de que a companhia verdadeira devia fazer parte do exercício. Continuou nos quatro casos.

O segundo incidente saiu do laboratório e entrou na cadeia pública de software. O Mythos 5 encontrou um documento de instalação para desenvolvedores que citava um pacote Python inexistente. O modelo registrou o nome no PyPI, criou um pacote malicioso e o publicou na internet.

Para abrir a conta, procurou um endereço de e-mail, enfrentou uma exigência de telefone, tentou obter recursos para pagar por um número e recuou até encontrar um provedor gratuito. Essa persistência importa mais que qualquer imagem de robô rebelde. O agente recebeu um objetivo estreito, encontrou obstáculos e tentou caminhos novos até publicar o arquivo.

O pacote ficou disponível por cerca de uma hora e foi baixado e executado em 15 sistemas reais. Um deles era o scanner de uma empresa de segurança que instala pacotes Python para procurar malware. O código do Claude coletou as credenciais do scanner e as usou para acessar mais infraestrutura da companhia. O próprio sistema de segurança do PyPI removeu o pacote.

O Mythos chegou a registrar que publicar o pacote seria um ataque real caso estivesse na internet aberta. Em seguida, concluiu que continuava na simulação. A data de 2026 exibida pelo sistema e autoridades certificadoras que ele não reconhecia viraram prova, na cabeça do modelo, de que tudo era encenado.

No terceiro incidente, um modelo interno de pesquisa escaneou cerca de 9.000 alvos depois de falhar contra a empresa fictícia. Achou uma página de depuração exposta, leu credenciais e usou injeção de SQL para comprometer outra companhia. Depois percebeu que a conta em nuvem não tinha relação com o exercício e parou por conta própria.

A Anthropic suspendeu as avaliações cibernéticas em 23 de julho, encontrou os três incidentes até o dia seguinte e avisou as organizações em 27 de julho. Duas empresas localizadas afirmaram que ainda não tinham detectado a atividade. A terceira ainda não havia respondido no momento da divulgação.

Essa linha do tempo mostra um problema menos chamativo que a invasão e talvez mais útil para quem administra uma empresa. Os incidentes começaram em abril. A Anthropic só os encontrou em julho, depois de procurar retrospectivamente em 141.006 execuções. Uma atividade pode estar registrada e continuar invisível por meses quando ninguém sabe qual comportamento procurar.

Na edição passada eu contei o caso do agente da OpenAI que saiu de uma avaliação e entrou no Hugging Face atrás das respostas do próprio teste. O caso da Anthropic tira qualquer conforto de tratar aquilo como uma anomalia de um laboratório. Agora são modelos diferentes, fornecedores diferentes e caminhos diferentes para chegar a organizações que não estavam no exercício. Em comum, havia uma missão convincente e uma fronteira técnica que existia na descrição do ambiente, mas não na rede.

A reação da Anthropic foi interromper os testes, preservar os registros, avisar as vítimas, trabalhar com a Irregular e rever a configuração.

A empresa também defendeu uma combinação de monitoramento por modelo, detecção de ações suspeitas e aprovação humana para etapas de maior impacto. São controles necessários, só que o próprio incidente prova que nenhum deles deve depender de uma única camada.

Nenhum caso exigiu tecnologia de ficção científica. Senhas fracas, endpoints sem autenticação, página de depuração exposta e injeção de SQL abriram as portas. O agente forneceu velocidade, persistência e escala.

Fontes: Anthropic, WIRED e NPR.

A Comissão Europeia soube dos incidentes da OpenAI e da Anthropic antes da divulgação pública. Em 31 de julho, autoridades de Bruxelas disseram à Reuters que as duas empresas estavam prestando informações e poderiam enfrentar um acompanhamento mais formal. O calendário pesou: as regras centrais do AI Act entram em aplicação neste domingo, 2 de agosto.

Os modelos mais avançados de uso geral passam a responder por riscos sistêmicos. A lista europeia inclui ciberataques, incidentes químicos e biológicos, manipulação, ameaça a direitos fundamentais e sistemas agindo fora do controle humano. O caso da Anthropic percorreu a cadeia inteira: laboratório, fornecedor terceirizado, internet pública, PyPI, banco de produção e empresas que nunca aceitaram participar do teste.

A Comissão ainda não declarou violação. Está coletando fatos e avaliando os mecanismos de risco. A direção da cobrança, porém, aparece no comunicado: o fornecedor terá de explicar o comportamento do modelo, a configuração do ambiente, os parceiros, o monitoramento e a resposta ao incidente.

As multas colocam dinheiro na conversa. Dependendo da infração, o AI Act prevê penalidades de 7,5 milhões de euros ou 1,5% do faturamento até 35 milhões de euros ou 7% da receita global anual. Para uma empresa do tamanho da OpenAI ou da Anthropic, o percentual vale mais que a cifra fixa.

Fontes: Reuters via SRN News, Comissão Europeia e texto consolidado do AI Act.

Um documento aparentemente comum pode contaminar a informação produzida por uma empresa inteira. O pesquisador norueguês Håkon Måløy demonstrou um worm de prompt injection capaz de se esconder em arquivos do Word, assumir o controle do Microsoft Copilot e copiar a si mesmo para os documentos seguintes.

O mecanismo começa com texto branco sobre fundo branco e fonte minúscula. O funcionário abre o arquivo e enxerga uma análise de mercado ou um relatório de parceiro. O Copilot enxerga também as instruções escondidas. Antes de enviar o conteúdo ao modelo, o Word remove cor e tamanho da fonte. A camuflagem desaparece para a IA.

No experimento, o usuário pedia ao Copilot que produzisse um relatório financeiro a partir de documentos anexados. A instrução oculta alterava silenciosamente os números e copiava o ataque inteiro para o novo arquivo. O comando reaparecia em branco, pequeno e invisível numa revisão comum.

O relatório interno virava o novo portador. Quando outra pessoa usava aquele arquivo para preparar o trimestre seguinte, o Copilot executava a instrução, manipulava os dados e criava outra cópia. O documento original do invasor podia desaparecer. A propagação continuava com arquivos criados por pessoas da empresa.

O atacante precisa apenas fazer um documento chegar à vítima por Outlook, Teams, SharePoint ou outro canal. Depois da primeira execução, a colaboração interna espalha o worm entre áreas e parceiros. Um arquivo recebido de uma consultoria confiável pode já ter sido contaminado em outra empresa.

Måløy reportou o comportamento ao Microsoft Security Response Center em 6 de março de 2026. A Microsoft confirmou em 31 de março. O período coordenado de divulgação foi estendido duas vezes e chegou a 144 dias.

Nesse intervalo, duas tentativas de correção falharam diante de variações do ataque. A primeira fechou o prompt original, mas uma instrução com texto diferente voltou a adulterar números e se propagar. Em 14 de julho, a Microsoft implantou uma segunda resposta baseada na atualização do modelo para o GPT-5.5. No dia seguinte, Måløy reproduziu o worm usando o GPT-5.6. Em 28 de julho, a classe ampla da falha continuava explorável.

A OWASP chama isso de prompt injection indireta. O modelo recebe uma página, e-mail ou arquivo controlado por terceiros e interpreta parte daquele conteúdo como ordem. Dados e comandos entram no mesmo contexto. Outro modelo pode filtrar alguns ataques, mas também processa os mesmos tokens hostis.

O dano mais traiçoeiro aparece na confiança. Um relatório adulterado pelo Copilot conserva logotipo, autor e histórico da empresa. O erro ganha aparência institucional. Caixa, preço, contratação e investimento podem usar números modificados sem alerta visível.

Na publicação da pesquisa, clientes ainda não tinham uma correção completa. A ação possível fica no processo: colocar anexos externos em quarentena, comparar números com o sistema oficial, preservar versões e exigir revisão humana em finanças, jurídico, compras e conselho. Documento criado pela própria equipe também precisa ser tratado como fonte potencialmente contaminada quando tiver passado por uma IA.

O worm também derruba uma divisão confortável entre arquivo externo e arquivo interno. Depois da primeira cópia, a instrução maliciosa passa a morar em documentos produzidos dentro da empresa. Lista de remetentes confiáveis e antivírus tradicional perdem boa parte do valor, porque o conteúdo é texto válido e o portador seguinte tem autoria legítima. A defesa precisa acompanhar a origem dos dados usados pelo Copilot e comparar o resultado com a fonte, principalmente quando números mudam.

Fontes: pesquisa de Håkon Måløy, The Decoder e OWASP.

Um consórcio liderado pelo Morgan Stanley negocia emprestar 15 bilhões de dólares à Nexus Data Centers. O dinheiro financiaria um campus em Hubbard, no Texas, construído para a Anthropic e acompanhado por uma usina própria de gás natural com capacidade de 1,6 gigawatt.

O pacote inclui um empréstimo-ponte de 14 bilhões de dólares e uma linha de crédito rotativa. A Anthropic assinou quatro contratos de locação no campus e acordos de compra da energia produzida no local. Tudo ainda estava em negociação quando a reportagem saiu.

O Google fornece a segurança exigida pelos bancos. A empresa concordou em garantir bilhões de dólares em aluguel e energia caso a Anthropic deixe de pagar. Em troca, deve receber perto de 20% do projeto de data center e geração. A Anthropic ainda pretende encher o campus com TPUs projetadas pelo Google em parceria com a Broadcom, financiadas por outro acordo.

O Google aparece como investidor da Anthropic, parceiro de nuvem, fornecedor da arquitetura de chips, garantidor financeiro e possível sócio do campus. Seu balanço dá à operação uma confiança que a startup ainda não consegue entregar sozinha.

A usina local revela a pressa. Instalações dessa escala podem esperar anos por conexão com a rede elétrica. Geração própria encurta o prazo, embora traga risco ambiental e regulatório. Enquanto OpenAI e Anthropic explicam como seus agentes saíram de ambientes de teste, o capital continua comprando mais energia para os próximos modelos.

Fontes: Reuters via SRN News, Wall Street Journal e CNBC.

Uber voltou aos carros autônomos sem voltar a construir um carro autônomo. A empresa já mantém parcerias ou investimentos em mais de 30 companhias do setor. Tem 19,7% das ações classe A da Aurora, comprometeu 500 milhões de dólares com a Nuro e elevou para 35 mil o pedido mínimo de veículos Lucid. O novo império usa a demanda do aplicativo e terceiriza tecnologia, veículo e operação. Fonte: TechCrunch.

Minnesota deixou a proibição de aplicativos de nudez artificial entrar em vigor. A xAI pediu uma liminar apenas três dias antes da vigência da lei, apesar de ela ter sido assinada quase três meses antes. O juiz Donovan Frank concluiu que a demora enfraquecia a alegação de dano imediato. A ação continua, mas a primeira proibição estadual desse tipo nos EUA já vale. Fonte: TechCrunch.

Hank Green vai reduzir vídeos depois de admitir uma relação ruim com IA. O YouTuber de 3,2 milhões de inscritos disse que usava o ChatGPT para localizar pesquisas, pediu desculpas por diluir o próprio processo e afirmou que a dose de dopamina recebida ao produzir cada vez mais com modelos não estava saudável. Fonte: TechCrunch.

Sam Altman sugeriu trocar a conversa no carro por um podcast gerado pelo ChatGPT. A ideia conecta calendários e interesses dos filhos para produzir um programa diário sobre jogos, aniversários e notícias. O criador de Gravity Falls, Alex Hirsch, respondeu perguntando por que os pais não conversavam com as crianças. A resposta teve 122 mil curtidas, contra 9,6 mil do post de Altman. Fonte: TechCrunch.

A OpenAI cortou o Luna em 80% e o Terra em 20%. O Luna passou a custar 0,20 dólar por milhão de tokens de entrada e 1,20 dólar na saída. A empresa também afirmou ter reduzido o custo de servir modelos em 20% com otimizações produzidas pelo próprio GPT-5.6 Sol. Fonte: OpenAI.

Eu vejo muita empresa pedindo mais autonomia para a IA sem fazer o trabalho chato de mapear permissão. Dá acesso ao Drive inteiro porque é mais rápido. Conecta o e-mail do fundador porque já está logado. Libera terminal, navegador e API no mesmo fluxo. Depois chama a ferramenta de imprevisível quando ela usa exatamente o caminho que recebeu.

Na prática, eu separo autonomia de autoridade.

Autonomia é o agente conseguir planejar a próxima etapa sem me chamar a cada minuto.

Autoridade é ele poder gastar dinheiro, publicar, apagar, enviar ou entrar em produção.

Quero aumentar a primeira depressa. A segunda cresce devagar, tarefa por tarefa, depois que consigo ver o rastro e desfazer a ação.

Isso muda inclusive a escolha de software. Um agente um pouco menos capaz, com permissão granular e histórico completo, pode ser mais valioso dentro da operação que o líder do benchmark conectado a tudo.

É justamente o que eu falo no Intensivo Claude Code

PS: A 5Era já chegou. A vantagem vai para quem consegue colocá-la para trabalhar sem deixar uma configuração esquecida decidir o destino da empresa.

Abraços! Mateus Dias