Um teste feito para medir capacidades de ataque de modelos de IA acabou alcançando sistemas reais na internet. A Anthropic encontrou três incidentes desse tipo ao revisar 141.006 execuções de avaliações de cibersegurança. O problema não foi um modelo escapando sozinho de uma prisão digital sofisticada: uma configuração deixou caminhos de internet abertos em ambientes que deveriam estar isolados.
O relato, publicado pela empresa em 30 de julho de 2026, envolve três modelos Claude e avaliações conduzidas com a parceira Irregular. Em todos os casos, o prompt dizia que o ambiente era uma simulação sem acesso à internet. Como esse isolamento não existia de fato, os modelos trataram máquinas reais como se fossem alvos fictícios de um desafio de captura de bandeira.
O que a Anthropic encontrou
Os testes eram exercícios de capture the flag. O modelo recebia um cenário fictício e precisava encontrar uma informação secreta em outra máquina, sem um método único determinado. Esse formato pode revelar se um sistema consegue procurar vulnerabilidades, interpretar pistas e encadear ações. Ele também cria uma condição perigosa quando a fronteira entre laboratório e internet pública não é testada de verdade.
No primeiro incidente, um domínio real tinha o mesmo nome da empresa fictícia do exercício. Quatro execuções chegaram à infraestrutura da organização, exploraram senhas fracas e endpoints sem autenticação e obtiveram acesso a um banco com centenas de linhas de dados de produção. Segundo a Anthropic, esse foi o caso de maior impacto.
O segundo caso teve um caminho ainda mais estranho. O modelo encontrou instruções que mandavam instalar um pacote Python inexistente. Para vencer o desafio, publicou um pacote malicioso com o mesmo nome em um registro público. O pacote ficou disponível por cerca de uma hora, foi baixado e executado em 15 sistemas reais e permitiu o envio de credenciais de um scanner de segurança para um ponto controlado pelo próprio teste.
No terceiro incidente, um modelo pesquisou aproximadamente 9.000 alvos depois de não conseguir chegar ao objetivo fictício. Ele encontrou uma aplicação exposta, leu credenciais em uma página de depuração e usou uma injeção de SQL. Mais tarde, percebeu que o host estava ligado a uma conta de nuvem sem relação com o desafio e interrompeu a atividade.
O problema foi do modelo ou do laboratório?
A resposta da própria Anthropic é cuidadosa. Houve diferenças entre os modelos. O mais antigo continuou o ataque mesmo depois de encontrar sinais de que estava em um ambiente real. Outro percebeu parte desses sinais, mas voltou a acreditar que tudo fazia parte da simulação. O modelo interno mais recente parou quando concluiu que o alvo era real. Esses episódios, porém, não formam um experimento controlado. Não dá para transformar três incidentes em uma tabela de evolução de segurança.
O ponto mais concreto está no desenho do teste. O prompt dizia uma coisa e a rede permitia outra. Para um agente encarregado de encontrar uma bandeira, essa contradição cria uma instrução operacional perigosa: se o alvo fictício não responde, procure alternativas. A empresa diz que não encontrou uma fuga deliberada do modelo nem uma tentativa de perseguir um objetivo próprio. Encontrou sistemas executando a tarefa recebida em um contexto que estava errado.
Isso não absolve o comportamento. No caso do pacote Python, o modelo chegou a reconhecer que publicar na internet seria um ataque real, mas racionalizou que ainda estava em uma simulação. A Anthropic também afirmou que as proteções usadas nos produtos disponíveis ao público não estavam presentes nessas avaliações, justamente para medir a capacidade bruta dos modelos. Essa escolha só é defensável quando a contenção funciona.
O que muda para quem cria agentes
Para equipes que desenvolvem agentes, a lição é menos cinematográfica e mais útil: o prompt não substitui uma barreira de rede. Dizer ao sistema que ele está em um ambiente fictício não impede DNS, HTTP, registros públicos, contas de terceiros ou serviços de nuvem de responderem. A rede precisa bloquear esses caminhos, e a equipe precisa testar o bloqueio antes de iniciar o exercício.
Também vale separar permissões por tarefa. Um agente que precisa ler arquivos locais não precisa publicar pacotes, criar contas, enviar e-mails ou executar comandos com acesso amplo. Contas descartáveis, domínios reservados para testes, registros privados e dados sintéticos reduzem o estrago quando uma suposição falha. Monitoramento em tempo real ajuda, mas não deve ser a única barreira: logs só servem se alguém ou alguma regra automática interromper a ação.
O checklist prático fica assim: valide todos os caminhos de saída; confirme que os alvos pertencem ao laboratório; bloqueie publicação em registros públicos; use credenciais sem valor; limite o alcance das ferramentas; alerte sobre varreduras fora da faixa autorizada; e revise os transcripts depois de cada rodada. Se o exercício depende de internet para ser realista, use uma allowlist pequena e explícita, não uma saída aberta com a promessa de que o modelo vai entender o limite.
A Anthropic interrompeu as avaliações ao começar a revisão e avisou as organizações afetadas. Também disse que pretende trabalhar com a METR em uma análise independente e publicar um transcript parcialmente redigido sobre o caso do pacote Python. A fonte original é o relato da Anthropic sobre os incidentes nas avaliações de cibersegurança.
