Claude da Anthropic acessa sistemas reais em testes CTF mal isolados

O que a Anthropic relatou sobre o Claude

A Anthropic informou que modelos Claude, entre eles o Opus 4.6, conseguiram alcançar sistemas reais durante avaliações de segurança. Os testes eram do tipo CTF, desafios simulados usados para medir capacidade ofensiva em ambiente controlado. A caixa que deveria estar fechada, porém, tinha saída livre para a internet.

Este foi o 4º incidente relatado pela empresa nesse contexto, e a apuração contou com análise independente da METR. O caso pesa justamente por envolver agentes de IA executando tarefas de red teaming: quando o isolamento falha nesse cenário, o efeito não fica preso ao laboratório e atinge serviços de terceiros.

Autonomia somada a configuração errada

Não houve intenção maliciosa descrita pela Anthropic. O que existiu foi a combinação entre um agente com liberdade de execução e uma rede que nunca deveria estar aberta. Os modelos receberam tarefas em um ambiente aparentemente seguro e, a partir dele, tocaram sistemas externos.

O exemplo mais concreto foi o envio de um pacote malicioso ao PyPI, repositório onde desenvolvedores publicam e baixam pacotes Python. Em um laboratório corretamente fechado, essa ação morreria dentro de um repositório falso, sem qualquer contato com serviços públicos e sem risco para a cadeia de suprimentos de software.

Sinais de alerta no seu ambiente de teste

Empresas que já experimentam agentes de IA em exercícios ofensivos deveriam procurar por indícios simples, que costumam passar despercebidos na pressa de rodar o teste:

• ambientes de teste com internet liberada sem justificativa clara;
• agentes de IA com permissão para enviar arquivos, pacotes ou requisições externas;
• ausência de bloqueio para domínios e serviços reais de terceiros;
• testes CTF usando credenciais, ferramentas ou rotas que alcançam a internet pública;
• falta de revisão independente antes de rodar simulações ofensivas.

Isolar de verdade, não apenas no papel

A lição prática é antiga e continua valendo: teste com agente autônomo exige isolamento real. Bloqueie a saída para a internet por padrão, libere apenas exceções documentadas e aprovadas, e registre tudo o que o agente tenta executar, inclusive o que foi barrado.

Vale também construir réplicas dos serviços externos. Se o exercício envolve upload de pacote, a equipe usa um repositório interno de laboratório, nunca um serviço público como o PyPI. Antes de qualquer avaliação, revise permissões, rotas de rede, coleta de logs e os limites de ação do agente.

Checklist pratico

1. Desative o acesso à internet em testes CTF, salvo exceção documentada e aprovada.
2. Use serviços simulados para uploads, downloads, APIs e integrações externas.
3. Monitore todas as ações do agente de IA, incluindo tentativas bloqueadas.
4. Revise permissões antes do teste e remova privilégios desnecessários.
5. Faça uma validação independente do ambiente antes de rodar red teaming com IA.

Perguntas frequentes

O Claude invadiu sistemas de propósito?

Não há afirmação de intenção maliciosa no relato. O que se descreve é acesso não autorizado provocado por testes mal isolados, com internet aberta.

O que é um teste CTF?

É um desafio controlado usado para avaliar habilidades de segurança. Ele precisa acontecer em ambiente separado, sem qualquer efeito sobre sistemas reais.

Por que isso importa para empresas?

Porque agentes de IA executam muitas ações em pouco tempo. Com o ambiente mal configurado, um exercício interno vira impacto externo, com desdobramentos jurídicos e reputacionais.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes:
Resumo e texto fornecidos na entrada