Relatório da Anthropic mostra como agentes de IA ampliam fraudes, vigilância e ataques

A Anthropic publicou seu relatório de inteligência de ameaças de setembro de 2026, reunindo operações interrompidas entre dezembro de 2025 e agosto de 2026. Os casos abrangem ciberataques, vigilância, influência política, golpes, pesquisa biológica, armas convencionais e destilação ilícita de modelos.

O relatório não descreve o uso comum do Claude. A própria empresa ressalta que selecionou atividades notáveis e incomuns. Ainda assim, os exemplos mostram uma mudança importante: criminosos e atores estatais já não usam modelos apenas para escrever textos. Eles tentam colocá-los como camada de engenharia, análise e coordenação de sistemas inteiros.

Do assistente ao orquestrador

Um chatbot responde a pedidos isolados. Um agente pode planejar etapas, escrever código, consultar dados, operar ferramentas e manter uma tarefa por várias sessões. Essa continuidade permite transformar pequenas solicitações aparentemente benignas em uma capacidade perigosa.

Segundo a Anthropic, alguns operadores fragmentaram objetivos maliciosos em etapas menores.

Pedidos diretos eram recusados, mas componentes separados podiam parecer desenvolvimento comum. Mais tarde, esses componentes eram reunidos em painéis, implantes, sistemas de vigilância ou redes de contas falsas.

Essa técnica tem uma lição direta para empresas: a análise de risco não pode observar apenas a mensagem atual. É necessário correlacionar usuário, organização, credencial, rede, histórico e sequência de ferramentas.

Operações em escala

Entre os exemplos, o relatório descreve produção automatizada de conteúdo em vários idiomas, redes de perfis falsos e plataformas de vigilância. Em um caso, uma operação teria usado cerca de 70 sites de notícias e milhares de artigos para criar aparência de cobertura independente. Em outro, perfis sintéticos foram combinados com pessoas reais em aplicativos de relacionamento para sustentar golpes.

Também houve uso de mensagens extraídas de mais de cem grupos de WhatsApp e dezenas de canais do Telegram para estruturar perfis de pessoas. Esse ponto é particularmente relevante para atendimento multicanal: mensagens destinadas a suporte podem conter identidade, localização, dificuldades financeiras e relações pessoais.

Conectar esse conteúdo a um modelo sem governança cria uma base de inteligência sobre clientes. Mesmo quando a finalidade inicial é legítima, acesso excessivo, retenção indefinida ou reutilização posterior pode transformar a automação em risco de privacidade.

O problema das ferramentas

O dano potencial aumenta quando o modelo possui acesso a navegador, terminal, banco, armazenamento e APIs externas. Uma resposta incorreta pode ser revisada; uma ação incorreta pode enviar mensagens, copiar arquivos ou alterar infraestrutura.

Ferramentas precisam ter contratos estreitos. Em vez de fornecer acesso genérico ao banco, exponha uma função que consulte apenas os campos necessários. Em vez de permitir qualquer requisição HTTP, limite destinos, métodos e volume. A autorização deve ser calculada pelo backend, não pela confiança no prompt.

Ambientes isolados também são necessários para código. Sandbox, sistema de arquivos temporário, bloqueio de rede e limites de CPU reduzem o alcance de uma tentativa de abuso. Segredos não devem aparecer no contexto nem nas variáveis disponíveis para toda execução.

Implicações para SaaS e atendimento

Uma plataforma baseada em Chatwoot, n8n e WhatsApp pode usar IA para classificar intenção, resumir conversas e sugerir respostas. O risco surge quando o mesmo agente acessa todos os clientes, caixas de entrada e credenciais.

Adote isolamento por conta. Cada execução deve carregar account_id, permissões e origem verificadas. Webhooks precisam de assinatura e proteção contra replay. O histórico enviado ao modelo deve ser limitado ao caso atual, com mascaramento de documentos, tokens e dados financeiros.

Se a IA detectar uma solicitação suspeita, não permita que ela investigue usando privilégios maiores. Encaminhe o alerta a um serviço de segurança ou operador humano. Separar detecção e resposta reduz a chance de um conteúdo malicioso convencer o próprio agente a ampliar acesso.

Monitoramento orientado a comportamento

Filtros de palavras são insuficientes. Atacantes podem mudar vocabulário ou dividir a tarefa. Monitore padrões como criação rápida de contas, uso máximo logo após cadastro, chamadas repetitivas, alternância de proxies, coleta sistemática e combinações incomuns de ferramentas.

Para cada agente, estabeleça uma linha de base: quantidade de passos, destinos de rede, volume de dados, duração e custo. Desvios devem gerar limitação ou aprovação. Logs precisam permitir reconstruir a cadeia completa sem conservar dados pessoais além do necessário.

Avaliações adversariais devem incluir tarefas multietapas. Teste se o modelo mantém limites quando pedidos são apresentados aos poucos, se conteúdo recuperado consegue alterar instruções e se falhas de uma ferramenta levam a tentativas mais arriscadas.

Resposta e aprendizado

Bloquear uma conta resolve apenas o evento imediato. Indicadores devem alimentar regras, avaliações e treinamento de equipes. Quando apropriado e permitido, compartilhe sinais com provedores, parceiros e autoridades.

Comunique incidentes de forma proporcional. Usuários precisam saber se dados foram acessados ou encaminhados indevidamente. A transparência do relatório da Anthropic não elimina os problemas observados, mas fornece informações que outras organizações podem transformar em controles.

Checklist aplicável

• Separe identidades, dados e credenciais por cliente.
• Aplique privilégio mínimo a cada ferramenta do agente.
• Bloqueie acesso genérico à rede e ao sistema de arquivos.
• Use sandbox e recursos temporários para execução de código.
• Correlacione comportamento entre sessões e contas.
• Detecte criação em massa, proxies e uso máximo imediato.
• Mascare documentos, tokens e dados financeiros.
• Teste ataques fragmentados e injeção indireta de prompt.
• Exija aprovação para ações externas ou irreversíveis.
• Defina retenção, investigação e comunicação de incidentes.

Perguntas frequentes

O relatório prova que todo agente de IA é inseguro?

Não. Ele descreve casos selecionados de abuso e mostra quais controles se tornam necessários quando modelos recebem ferramentas e continuidade.

Recusar pedidos maliciosos é suficiente?

Não. O relatório mostra tentativas de fragmentar objetivos. Segurança precisa considerar sequência, identidade, comportamento e ferramentas.

Isso afeta pequenas empresas?

Sim. Pequenas operações também guardam conversas, credenciais e dados pessoais, muitas vezes com menos separação entre clientes.

O principal alerta é arquitetural: agentes ampliam tanto produtividade quanto alcance do abuso. Segurança não pode depender somente do comportamento do modelo. Identidade, isolamento, ferramentas restritas e observabilidade devem limitar o que qualquer execução consegue fazer.

Revise um agente em produção e liste todas as ferramentas, credenciais e destinos que ele alcança. Remova o que não é necessário e teste uma sequência adversarial antes da próxima atualização.