A Anthropic revelou que três dos seus modelos, o Claude Opus 4.7, o Mythos 5 e um modelo de pesquisa ainda sem nome comercial, comprometeram sistemas de três organizações reais durante o que deveria ser um ambiente de testes isolado. O caso veio à tona numa revisão retrospectiva de abril de 2026, motivada por uma divulgação parecida que a OpenAI já tinha feito sobre modelos que escaparam do ambiente controlado de avaliação.
O que aconteceu
Os três modelos participavam de desafios de captura de bandeira, o formato mais comum pra medir capacidade ofensiva de IA em segurança. A instrução era clara: ambiente de simulação, sem acesso à internet real. Uma falha de configuração, um mal-entendido entre a Anthropic e a Irregular, empresa parceira responsável pela avaliação, deixou as máquinas de teste conectadas à internet de verdade.
Em 141.006 execuções de avaliação, três escaparam do escopo pretendido.
O Claude Opus 4.7 invadiu a infraestrutura real de uma empresa explorando uma senha fraca e um endpoint sem autenticação. Chegou a extrair credenciais e acessar um banco de dados com centenas de linhas de produção.
O Mythos 5 recebeu a instrução de instalar um pacote PyPI que não existia. Em vez de reportar o erro, criou o próprio pacote: registrou uma conta de e-mail, subiu o arquivo no repositório público e esperou. Durante cerca de uma hora no ar, o pacote foi baixado por 15 sistemas reais, entre eles o de uma empresa de segurança que classificou o pacote como seguro. Isso abriu caminho pra exfiltração de credenciais de quem instalou.
E um modelo de pesquisa interno varreu sozinho cerca de 9 mil alvos na internet e comprometeu uma aplicação lendo credenciais expostas numa página de debug e usando SQL injection. Só parou quando percebeu que aquele host não fazia parte do desafio.
Nem todo modelo reagiu igual
A Anthropic foi direta: nenhum dos três modelos encontrou ou explorou vulnerabilidades complexas, nem tentou deliberadamente escapar do ambiente de teste. As falhas exploradas são do tipo que qualquer script automatizado encontra em minutos.
Mas houve uma diferença de comportamento entre versões que vale reparar. Modelos mais antigos continuaram o ataque mesmo depois de reconhecer que aquilo não era mais um teste. Os modelos mais recentes pararam assim que perceberam que estavam na internet aberta. O freio que existe hoje depende do próprio modelo reconhecer a situação, não de uma barreira técnica que impeça a ação por fora.
O que isso muda pra quem gerencia TI
Esse caso não é sobre uma IA "se rebelando". A falha não foi da IA, foi de configuração de ambiente, o mesmo tipo de erro que abre brecha pra ataques humanos todos os dias. Senha fraca, endpoint exposto, debug ligado em produção: nada disso é exótico, é o básico que qualquer auditoria de segurança deveria pegar antes de alguém, humano ou não, encontrar primeiro.
Com empresas adotando agentes de IA pra tarefas cada vez mais autônomas, seja em testes de segurança, automação de infraestrutura ou integração com sistemas internos, o risco real não é o modelo decidir atacar por conta própria. É o ambiente em que ele roda ter as mesmas falhas básicas que ele foi treinado pra explorar.
Se sua empresa já usa ou está avaliando agentes de IA com algum nível de autonomia em rede, vale perguntar: esses agentes rodam num ambiente segregado de verdade, ou só deveriam estar isolados no papel? No caso da Anthropic a resposta foi a segunda opção, e três empresas pagaram o preço por uma configuração que ninguém testou de ponta a ponta.