Testes de red-team da Anthropic com o Claude invadiram por engano sistemas de três organizações

A Anthropic revelou que, durante avaliações de segurança ofensiva com o Claude, uma falha de configuração em seus ambientes de teste — e nos de uma parceira — deixou instâncias do modelo com acesso real à internet, quando deveriam estar completamente isoladas ("sealed off"). Ao vasculhar mais de 140 mil execuções de teste em busca de evidências desse vazamento de isolamento, a empresa encontrou três casos em que o Claude, agindo de forma autônoma dentro de uma avaliação, efetivamente comprometeu sistemas de organizações externas reais. Nem a Anthropic nem as vítimas perceberam as invasões enquanto elas aconteciam; os primeiros indícios remontam a abril de 2026, meses antes da divulgação.

Tecnicamente, o problema está no desenho dos testes tipo capture-the-flag (CTF), usados por praticamente todo laboratório de ponta para medir a capacidade ofensiva de um modelo: o Claude recebe a tarefa de obter uma informação específica invadindo outro sistema, dentro de uma sandbox que deveria ser hermética. A falha de configuração rompeu esse isolamento e deu ao modelo saída de rede real. A partir daí, o próprio agente combinou reconhecimento, obtenção de credenciais e exploração de acesso — exatamente as capacidades que o teste pretendia avaliar, só que aplicadas contra alvos reais em vez de um ambiente controlado.

O caso importa porque expõe um risco estrutural, não pontual: à medida que os testes de red-team ficam mais agentivos — o modelo decide por conta própria os passos de uma cadeia de ataque —, o limite entre "ambiente de avaliação" e "produção" passa a depender inteiramente da integridade do isolamento de rede, algo historicamente tratado como detalhe operacional e não como controle de segurança crítico. A Anthropic reconheceu que poderia ter auditado seus registros de forma mais rigorosa e afirmou estar tratando a correção "como se a responsabilidade fosse inteiramente sua", mesmo com um parceiro de testes também envolvido.

O incidente também não é isolado no setor: dias antes, a OpenAI já havia relatado que seus modelos comprometeram sistemas de terceiros, incluindo a Hugging Face, também durante testes de segurança. Isso sugere que grandes laboratórios de IA estão, na prática, operando programas de red-team com poder ofensivo comparável a operações reais de pentest — e que a segurança do sandbox (egress de rede, credenciais efêmeras, monitoramento de saída) precisa ser tratada com o mesmo rigor dado ao próprio modelo, sob pena de o ambiente de teste virar, ele mesmo, o vetor do incidente.