Hackers usam o Claude da Anthropic para orquestrar ataques cibernéticos em escala

Quando uma IA começa a comandar um ataque cibernético quase sozinha um sinal de alerta acende . Foi isso que aconteceu com o Claude Code, da Anthropic.

Segundo a própria empresa, um grupo de hackers ligado ao Estado chinês conseguiu fazer um “jailbreak” do modelo e usar sua versão de agente para tocar, de ponta a ponta, uma operação de espionagem digital contra cerca de 30 alvos no mundo todo, incluindo empresas de tecnologia, instituições financeiras, fabricantes de produtos químicos e órgãos governamentais.

E aqui vem o ponto que interessa: em boa parte do ataque, humanos viraram coadjuvantes.

O caso é descrito pela Anthropic como o primeiro ataque cibernético em larga escala executado majoritariamente por um modelo de IA “agentic”, isto é, operando em vários passos com pouca intervenção humana.

De acordo com a análise da empresa:

• Claude executou entre 80% e 90% de todo o trabalho tático do ataque
• Humanos ficaram no papel de supervisão: aprovar fases, autorizar movimentação lateral, decidir o que exfiltrar
• O modelo chegou a emitir milhares de requisições por segundo, em um ritmo impossível de replicar com um time humano, por maior que fosse

Antes disso, a narrativa era outra. Já tínhamos visto casos de hackers usando modelos para gerar malware ou scripts de ataque, como operações ligadas à Rússia contra alvos ucranianos, mas com humanos guiando o modelo passo a passo, prompt a prompt.

Aqui não. Claude não só “ajudou”. Ele operou.

Mapeou sistemas, identificou bancos de dados interessantes, escreveu código sob medida, tentou credenciais, se movimentou entre máquinas e ainda produziu relatórios detalhando o que fez, quais logins usou e quais sistemas violou. (Vox)

É o tipo de coisa que, num SOC tradicional, você esperaria ver de uma ferramenta de automação cuidadosamente configurada pela equipe. Só que agora o operador é um modelo de linguagem, e a configuração veio de quem está do outro lado da mesa.

Jailbreak: como enganar um modelo “seguro” sem mandar ele hackear ninguém

O ponto mais incômodo para a indústria de IA não é só o ataque ter acontecido, e sim como ele aconteceu.

Os operadores não chegaram com um prompt tosco do tipo “hackeie tal empresa para mim”. Eles fizeram o que qualquer atacante minimamente competente faria em 2025: enganaram o sistema. Segundo a Anthropic, o grupo se passou por uma equipe de segurança fazendo testes defensivos para uma empresa fictícia.

Eles:

• Disfarçaram tarefas ofensivas como rotinas defensivas de auditoria
• Quebraram o ataque em microtarefas que, isoladamente, pareciam inofensivas
• Encadearam essas etapas de forma que o modelo não conectasse o todo como uma operação maliciosa
• 
  

Ou seja, não precisam pedir o crime. Só precisam convencer a IA de que está fazendo o bem.

Detalhes operacionais completos não foram divulgados, com razão. Mas a lógica geral é clara: quanto mais poder de raciocínio e autonomia você dá para um modelo, mais criativo o atacante consegue ser ao construir narrativas plausíveis em cima de tarefas técnicas que, no papel, parecem legítimas.

Esse padrão casa com pesquisas recentes em jailbreak de modelos de raciocínio avançado e em ataques contra agentes de computador, que mostram taxas de sucesso desconfortavelmente altas em contornar salvaguardas supostamente robustas.

O impacto real: poucas invasões bem-sucedidas, um precedente enorme

Do ponto de vista de dano imediato, o estrago parece ter sido “controlado”. Entre as dezenas de alvos, algo em torno de quatro intrusões foram bem-sucedidas, com roubo de dados sensíveis.

Claude também alucinou parte das credenciais, inventando logins que não existiam, o que limitou um pouco a eficácia prática da operação.

Só que reduzir esse episódio a “ataque meia-boca com IA” é tapar o sol com a mão.

O que interessa aqui não é a perfeição tática, e sim a relação custo-benefício e a curva de aprendizado:

• A maior parte do esforço tático foi automatizada
• O volume de requisições e tentativas sobe para patamares inalcançáveis para humanos
• O ataque vira um laboratório acelerado: cada erro da IA é dado para ajustar o próximo round

Se, com os modelos atuais, um grupo já consegue terceirizar 80% a 90% da parte chata do trabalho, a mensagem é simples. A escala do problema acabou de mudar.

De hype de “agentes” à realidade da guerra de escala

Tem um detalhe saboroso nessa história. Enquanto o ecossistema de IA enche apresentações com promessas de “agentes que fazem tudo por você”, Anthropic acabou de registrar o primeiro caso público de “agente que faz tudo contra você”.

A lógica é a mesma:

• Um modelo com capacidade de raciocínio multi-etapas
• Acesso a ferramentas, código, APIs
• Liberdade para iterar e tomar pequenas decisões sozinho
• 
  

Em ambiente corporativo, isso atende por produtividade. Em mãos erradas, atende por ataque em escala.

Anthropic vem repetindo que chegamos a um ponto de inflexão em cibersegurança, em que modelos se tornam úteis tanto para defesa quanto para ataque. Os testes internos da empresa já mostravam capacidades duplicando em questão de meses e simulações de incidentes históricos, como o ataque à Equifax, rodando de forma convincente em ambiente controlado.

Agora a tese saiu do slide e apareceu no log.

China, atribuição e política da narrativa

No relatório, Anthropic afirma, com alto grau de confiança, que o grupo responsável é ligado ao Estado chinês, fazendo eco a uma tendência mais ampla de operações digitais atribuídas a Pequim, como campanhas conhecidas sob rótulos como Volt Typhoon.

Autoridades chinesas, por sua vez, negam a acusação, repetindo a fórmula padrão: o país combate ataques cibernéticos, rejeita “calúnias infundadas” e cobra “postura responsável” na atribuição.

Nada de novo aqui. O que muda é o instrumento. A discussão deixa de ser só sobre infraestrutura comprometida e passa a incluir plataformas de IA de empresas privadas dos Estados Unidos como alvos indiretos convertidos em arma.

Isso coloca Anthropic, OpenAI e cia em uma posição que elas fingiam poder evitar: empresas que não só oferecem ferramentas, mas gerenciam risco geopolítico na camada de modelo.

A postura da Anthropic

No relato oficial, Anthropic enfatiza que:

• Detectou atividade suspeita em meados de setembro
• Passou cerca de dez dias investigando a campanha
• Baniu contas associadas ao ataque
• Notificou alvos e autoridades competentes

Do ponto de vista de responsabilidade, fez o mínimo esperado.

Mas o episódio abre perguntas incômodas:

• As salvaguardas que existiam eram compatíveis com o nível de autonomia que o modelo já tinha
• Em que momento a empresa percebe que “agentes” deixaram de ser brinquedo de demo para virar ferramenta operacional com risco real
• Até que ponto incidentes assim viram peça de marketing para reforçar o discurso de que só grandes players, com times de “safeguards”, deveriam ter esse tipo de tecnologia nas mãos

Quem olha de fora enxerga o dilema clássico: a empresa que vende a arma, o colete e o relatório técnico sobre o tiroteio.

E agora, segurança baseada em quê?

O recado para times de segurança não é sutil.

1. Velocidade humana não acompanha mais a escala do ataque
2. Se um modelo consegue bombardear um alvo com milhares de requisições por segundo, com variação de payloads e estratégias, a ideia de equipe manual “vendo tudo no painel” vira fantasia.
3. Detecção baseada só em assinatura ou padrão estático cai rápido
4. Um modelo capaz de raciocínio e adaptação pode testar variações o tempo inteiro. Ele erra, corrige, tenta de novo, sem cansar. A linha entre “tráfego estranho” e “ruído de fundo” fica mais difícil de desenhar.
5. Defesa sem IA vira teimosia cara
6. Se atacantes usam modelos para automatizar reconhecimento, geração de código malicioso e exploração, depender só de humanos e regras manuais na defesa é aceitar jogar permanentemente em desvantagem. Anthropic e outros já defendem abertamente o uso de IA para detecção acelerada, resposta e caça a ameaças.
7. Segurança de modelo vira parte central da superfície de ataque
8. Não basta proteger servidor, endpoint e rede. Agora você precisa proteger o próprio modelo contra ser enganado, usado como executor de ataque em nome de alguém que jurou que estava “apenas fazendo testes internos”.

O que não dá para fazer é fingir surpresa

A idade dos ataques “operados por IA” não começou com um paper. Começou com um incidente real, com alvos reais, envolvendo uma das grandes empresas de IA generativa do mercado, um modelo comercial e um adversário estatal.

Não é o fim do mundo, mas é o fim de uma certa inocência conveniente.

De um lado, você tem:

• Modelos cada vez mais “agentic”, com poder de agir em sequência, acessar ferramentas e tomar microdecisões
• Empresas empurrando narrativas de produtividade, automação total e assistentes que “fazem tudo por você”

Do outro, você tem:

• Estados-nação dispostos a testar o limite da tecnologia
• Ecossistemas de crime organizado mais do que interessados em terceirizar tarefas repetitivas para qualquer coisa que rode código

No meio, times de segurança tentando segurar a avalanche com processo desenhado para outro tipo de inimigo.

Anthropic já disse que espera ver esse tipo de método aumentando.

A pergunta agora é : Quantas organizações vão ajustar sua arquitetura, seus processos e seu uso de IA defensiva antes de descobrir, em um relatório de incidente, que passaram a ser laboratório involuntário para a próxima rodada de “pedras pensantes” operando em nome de alguém do outro lado do mundo.