A Anthropic publicou em 10 de setembro de 2026 um relatório de inteligência de ameaças que descreve uma mudança prática no uso criminoso de modelos de IA. Em parte das operações observadas, Claude não teria servido apenas para responder perguntas ou escrever trechos isolados. Segundo a empresa, agentes passaram a coordenar reconhecimento, desenvolvimento de ferramentas, exploração, coleta de dados e adaptação contra mecanismos de detecção.
O documento merece atenção, mas precisa ser lido com limites claros. Os casos foram selecionados e interpretados pela própria fornecedora do modelo. A Anthropic não apresenta um denominador que permita medir a frequência desse abuso em relação ao uso legítimo, nem publica todos os registros necessários para reprodução independente. O relatório mostra operações relevantes que a empresa afirma ter interrompido. Não demonstra que todo ataque sofisticado agora usa IA, que Claude agiu sem direção humana ou que controles do provedor bastam para proteger redes de terceiros.
Capa: ilustração editorial original criada para esta matéria. Ela representa coordenação, rotas de rede, monitoramento e barreiras de acesso. Não é captura real, não reproduz um sistema atacado e não comprova atribuição, invasão ou eficácia de qualquer produto.
O que aconteceu
No relatório Detecting and countering misuse of AI: September 2026, a equipe de inteligência de ameaças da Anthropic reúne estudos de caso sobre operações maliciosas nas quais contas de Claude teriam sido usadas. A empresa afirma que identificou e interrompeu as atividades, reforçou salvaguardas e compartilhou informações com autoridades, vítimas e parceiros quando considerou apropriado.
O recorte inclui sete áreas de dano: operações cibernéticas, influência, vigilância, golpes e fraude, abuso biológico, desenvolvimento de armas convencionais e destilação ilícita. Nesta matéria, o foco está nas operações cibernéticas e nas lições defensivas que podem ser verificadas sem reproduzir procedimentos de ataque. A versão integral também está disponível no PDF oficial publicado pela Anthropic.
Quando isso aconteceu
O relatório foi publicado em 10 de setembro de 2026. Os casos descritos cobrem atividades que a empresa diz ter interrompido entre dezembro de 2025 e agosto de 2026. Portanto, a data de publicação é atual, mas os eventos não ocorreram todos hoje e não formam uma única campanha.
Essa distinção evita transformar uma retrospectiva de oito meses em alerta de incidente em andamento. Alguns casos têm conexões com investigações divulgadas anteriormente, enquanto outros aparecem pela primeira vez no relatório. A Anthropic também compara o material com relatórios de março, agosto e novembro de 2025. O documento é uma atualização de inteligência da própria plataforma, não um aviso universal de comprometimento de usuários do Claude.
O que o relatório cobre
A empresa diz ter observado grupos suspeitos de ligação estatal, criminosos motivados financeiramente, fornecedores de spyware, instituições de propaganda e operadores politicamente motivados. Claude Haiku, Sonnet e Opus aparecem nos casos. A Anthropic afirma que modelos Fable ou Mythos não estiveram envolvidos nas ocorrências de abuso, com exceção de um caso de destilação ilícita.
O próprio texto adverte que os exemplos não representam uso indevido típico. Eles foram escolhidos por serem atividades notáveis ou novas encontradas pela equipe. Essa seleção é útil para entender possibilidades, mas não permite estimar prevalência. Também não revela quantos casos semelhantes ficaram fora da visibilidade da empresa, migraram para modelos locais ou usaram outros provedores.
Por que a Anthropic fala em orquestração
A principal mudança alegada é a passagem de assistência pontual para execução coordenada. Segundo o relatório, a maioria das operações cibernéticas descritas usou IA para executar diretamente etapas ou organizar agentes especializados. Pessoas continuaram escolhendo alvos, definindo objetivos e revisando dados obtidos. A autonomia, portanto, não eliminou o operador humano.
Orquestração significa encadear tarefas. Um componente coleta contexto, outro interpreta a infraestrutura, outro produz ou modifica artefatos e outro resume resultados. Essa estrutura pode acelerar ciclos que antes exigiam mais especialistas e coordenação manual. Não significa que o modelo inventou sozinho uma campanha, obteve acesso sem credenciais ou tomou decisões estratégicas fora do objetivo dado pelo atacante.
O caso associado à espionagem russa
Um dos estudos recebe o código interno GTG-20006. A Anthropic afirma que sua atribuição é consistente com relatos públicos sobre Midnight Blizzard, um ator associado à inteligência russa. A operação teria mirado organizações governamentais, diplomáticas, de defesa e pessoas ligadas à política externa, sobretudo na Ucrânia e na Europa.
O relatório diz ter identificado mais de 20 organizações em planejamento, reconhecimento ou atividade operacional. Também descreve interesse em fornecedores de tecnologia para drones, contas de comunicação e sistemas de nuvem. Esses números são afirmações da Anthropic sobre sua própria investigação. A matéria não os amplia para toda a atuação do grupo e não trata o código GTG como uma atribuição aceita por todas as empresas de segurança.
O papel da IA no ciclo de ataque
Na leitura da Anthropic, a IA apoiou reconhecimento, preparação de infraestrutura, phishing, manutenção de ferramentas, coleta e organização de dados. O elemento mais relevante para defensores é o ciclo de adaptação. Agentes teriam acompanhado a detecção de artefatos e ajudado a modificá-los quando produtos de segurança passavam a reconhecê-los.
Esse relato não torna assinaturas inúteis. Elas continuam bloqueando ameaças conhecidas e produzem telemetria valiosa. O risco é depender somente de indicadores estáticos quando o adversário consegue alterar rapidamente arquivos, domínios e fluxos. Detecção comportamental, isolamento, identidade, limitação de saída e resposta coordenada ganham peso porque observam o que a operação faz, não apenas a aparência de um arquivo específico.
Credenciais roubadas continuam no centro
Apesar do destaque dado à IA, muitos acessos descritos começam com elementos conhecidos: credenciais comprometidas, tokens expostos, phishing, aplicações vulneráveis e permissões excessivas. O modelo ajuda o atacante a entender ambientes diferentes e repetir ações, mas não elimina a necessidade de um caminho de entrada.
A página do MITRE ATT&CK sobre contas válidas em nuvem documenta como credenciais legítimas podem permitir acesso inicial, persistência, elevação de privilégio e evasão. Essa taxonomia independente ajuda a separar o componente novo do fundamento antigo. O novo é a velocidade com que conhecimento e automação podem ser aplicados. O fundamento continua sendo acesso que a infraestrutura aceita como legítimo.
O caso ligado a ShinyHunters
Outro bloco reúne operadores que a Anthropic associa a afiliados do coletivo ShinyHunters. A empresa relata coleta em massa de segredos expostos, invasões de provedores de software, extorsão e uso de chaves de API roubadas. Em um caso, o avanço de um token de desenvolvedor até controle administrativo teria levado cerca de três horas. Em outro, uma cadeia de fornecedor alcançou dados de aproximadamente 200 clientes.
A Anthropic afirma que as chaves usadas nesses episódios foram roubadas de ambientes de clientes e que seus próprios sistemas não foram comprometidos por esse ator. Esse detalhe é essencial. O uso de Claude em uma operação não prova invasão da plataforma da Anthropic. Mostra que uma credencial obtida fora dela pode transformar um serviço legítimo em recurso do atacante.
A cadeia de fornecedores amplia o impacto
Quando um provedor de software é comprometido, o invasor pode alcançar integrações, sessões e dados de vários clientes. O relatório descreve um despejo com mais de 2.100 conjuntos de tokens do Azure AD, atual Microsoft Entra ID, distribuídos por mais de 40 ambientes corporativos em cerca de 34 horas. Esses valores vêm da investigação da Anthropic e não foram reproduzidos pelo Bastidores da IA.
A lição operacional é tratar integrações como fronteiras de confiança. Um fornecedor não deve receber privilégios permanentes apenas porque presta um serviço central. Tokens precisam de escopo mínimo, validade limitada, trilhas de auditoria e revogação praticável. Equipes também precisam saber quais clientes ou sistemas downstream podem ser alcançados se uma identidade de serviço for comprometida.
O que a Microsoft confirma de forma independente
O relatório da Anthropic relaciona parte do caso GTG-20006 à campanha chamada CaptiveCrunch pela Microsoft. Em 31 de julho, a Microsoft Threat Intelligence publicou sua investigação sobre manipulação de redes de portal cativo, phishing por código de dispositivo, roubo de credenciais e entrega de malware. A Microsoft também afirmou ter observado uso de IA em parte relevante da operação.
Essa fonte oferece corroboração para técnicas e alvos específicos, mas não valida automaticamente cada conclusão do relatório da Anthropic. As duas empresas colaboraram na investigação e têm visibilidade diferente. Onde os relatos convergem, a confiança aumenta. Onde apenas uma fonte fornece números, nomes internos ou interpretação, a atribuição deve permanecer explícita.
O que o relatório não prova
O documento não prova que Claude iniciou ataques sem comando humano, que os operadores não possuíam conhecimento técnico ou que a IA foi indispensável para cada resultado. A Anthropic usa o conceito de uplift para avaliar ganhos de velocidade, escala e profundidade, mas os estudos públicos não formam um experimento controlado com o mesmo grupo atuando sem IA.
Também não há material suficiente para uma auditoria independente completa. Transcrições, critérios de seleção, falsos positivos e cadeia de evidências não são publicados em nível que permita reprodução externa de todas as alegações. Há bons motivos de segurança e privacidade para limitar detalhes, mas essa limitação continua existindo e precisa acompanhar as conclusões.
Por que a amostra não mede prevalência
A Anthropic declara que reuniu os casos mais notáveis e novos que identificou. Isso cria um viés de seleção intencional. Um relatório de incidentes serve para mostrar padrões perigosos, não para calcular a proporção de usuários maliciosos ou comparar com precisão um modelo a outro.
O Transparency Hub da Anthropic oferece alguns números agregados de aplicação de políticas, incluindo contas banidas, mas esses dados também dependem das definições e sistemas internos da empresa. Para medir prevalência, seriam necessários denominadores estáveis, metodologia comparável, tratamento de falsos positivos e dados de múltiplas plataformas. O relatório não entrega esse conjunto.
O que muda para equipes de defesa
A defesa precisa assumir que tarefas de reconhecimento e adaptação podem ficar mais baratas. Isso aumenta a importância de reduzir o tempo entre sinal, investigação e contenção. Alertas isolados devem ser correlacionados por identidade, sessão, ativo, aplicação e sequência de ações. Um login aparentemente válido pode adquirir outro significado quando é seguido por enumeração ampla, criação de credenciais ou exportação incomum.
O MITRE descreve detecção comportamental de logins remotos em nuvem combinando localização, agente de usuário, enumeração e manipulação de recursos. A regra precisa ser adaptada ao ambiente real. Copiar limites genéricos sem conhecer rotinas administrativas produz ruído e enfraquece a resposta.
Controles de identidade viram prioridade
A orientação da Microsoft para autenticação multifator resistente a phishing recomenda inventariar aplicações, migrar automações baseadas em contas humanas para identidades de carga, usar credenciais vinculadas ao dispositivo e aplicar Acesso Condicional. Esses controles não impedem todo abuso, principalmente quando tokens de sessão já foram roubados, mas reduzem caminhos comuns e melhoram a capacidade de revogação.
Na prática, vale revisar contas administrativas permanentes, aplicações com consentimento amplo, credenciais sem proprietário e identidades de automação antigas. Elevação temporária, aprovação para funções críticas e alertas sobre novas credenciais ajudam a limitar persistência. A prioridade não é comprar um rótulo de segurança para IA. É diminuir o poder que qualquer sessão comprometida, humana ou automatizada, consegue exercer.
Como tratar chaves de IA e integrações
Chaves de API de modelos devem receber o mesmo rigor de outros segredos de produção. Não podem ficar em repositórios, imagens de contêiner, aplicativos clientes, planilhas ou logs. O ideal é usar um cofre de segredos, identidades de carga quando disponíveis, rotação, escopo por aplicação e limites de uso compatíveis com a função.
A página Building safeguards for Claude descreve políticas, classificadores, revisão humana, aplicação em contas e inteligência de ameaças. Esses mecanismos pertencem ao provedor e não substituem controles do cliente. O relatório atual mostra justamente por que detecção na plataforma e segurança no ambiente consumidor precisam funcionar juntas.
Fato, posição empresarial e análise editorial
É fato verificável que a Anthropic publicou o relatório em 10 de setembro e que a Microsoft publicou investigação relacionada sobre CaptiveCrunch. É posição da Anthropic que a sofisticação deixou de ser indicador confiável do tipo de ator e que a adoção de IA redistribui custos para defensores. São conclusões apoiadas por sua telemetria, não leis universais demonstradas para todo o ecossistema.
A análise editorial do Bastidores da IA é que o valor do relatório está menos na ideia de um invasor totalmente autônomo e mais na combinação entre automação, credenciais válidas e cadeias de fornecedores. A matéria anterior sobre agentes que alcançaram infraestrutura real durante avaliações tratou falhas de contenção. Aqui, o problema é o uso deliberado por operadores maliciosos em ambientes de vítimas.
O que organizações brasileiras podem fazer agora
Comece pelo inventário: contas privilegiadas, aplicações registradas, tokens, chaves de API, integrações SaaS e fornecedores com acesso aos seus dados. Registre proprietário, finalidade, escopo, última utilização e caminho de revogação. O que não tem dono ou uso comprovado deve entrar em análise de remoção, não em exceção permanente.
Depois, teste uma resposta realista. Simule o roubo de um token de fornecedor e verifique se a equipe consegue detectar enumeração, bloquear a sessão, revogar credenciais derivadas e identificar clientes afetados. O artigo sobre a janela dos defensores em cibersegurança mostra por que velocidade precisa vir acompanhada de escopo, evidência e revisão humana.
Por fim, não bloqueie toda automação defensiva por medo. Agentes também podem ajudar a correlacionar alertas, resumir evidências e testar configurações. Dê a eles dados mínimos, ferramentas de leitura por padrão, aprovação antes de mutações e registros completos. A mesma redução de custo que favorece abuso pode melhorar defesa quando permissões e responsabilidade são explícitas.
Fontes primárias e técnicas
- Anthropic: Detecting and countering misuse of AI, setembro de 2026.
- Anthropic: relatório completo em PDF.
- Microsoft Threat Intelligence: CaptiveCrunch.
- Anthropic: camadas de salvaguarda do Claude.
- Anthropic: System Trust and Reporting.
- MITRE ATT&CK: Valid Accounts, Cloud Accounts.
- MITRE ATT&CK: detecção comportamental de login remoto em nuvem.
- Microsoft Learn: autenticação multifator resistente a phishing.