Agentes de IA invadiram sistemas internos da Anthropic em teste de segurança

Uma startup usou agentes de IA para furar a defesa da própria Anthropic

A startup de cibersegurança Cathedral usou agentes de IA para entrar nos sistemas internos da Anthropic, criadora dos modelos Claude, através do programa de recompensas por falhas da empresa (o chamado bug bounty, que paga pesquisadores por vulnerabilidades encontradas). O caso foi relatado pelo The Decoder em 28 de outubro de 2026, com base num rascunho de relatório da Cathedral revisado pelo jornal Washington Post.

A Cathedral foi fundada por ex-funcionários do DOGE, a agência de eficiência do governo dos Estados Unidos, e vende ferramentas de segurança baseadas em IA para órgãos públicos e empresas. Segundo o relatório da startup, os agentes de IA não atacaram direto os sistemas centrais da Anthropic: encontraram caminho por softwares de terceiros usados em áreas administrativas e de vendas.

Em menos de doze horas, de acordo com a Cathedral, os agentes acharam transcrições de reuniões, dados salariais, vagas de emprego abertas e mensagens do Slack, o aplicativo de chat corporativo usado internamente pela empresa. A Anthropic confirma que houve acesso, mas discorda da Cathedral sobre a extensão e a duração do episódio.

Anthropic admite a brecha, mas contesta o tamanho do estrago

A Anthropic confirmou que pesquisadores da Cathedral acessaram um conjunto limitado de sistemas de vendas, recursos humanos e TI, incluindo informações de contato de alguns clientes e parceiros e dados básicos de contas de usuário. A empresa afirma que conversas com o Claude, código-fonte e os pesos do modelo (os parâmetros numéricos que definem o comportamento de uma IA) nunca foram expostos.

A empresa diz ter desligado os pontos de acesso afetados no mesmo dia em que descobriu a invasão, desativado os programas de terceiros até resolver o problema e notificado autoridades federais americanas. Já sobre o tempo do ataque, as versões colidem: a Cathedral fala em menos de doze horas, mas Logan Graham, pesquisador de red team (equipe que simula ataques para testar defesas) da Anthropic, diz que a tentativa se estendeu por vários dias.

Segundo Graham, só depois de dias tentando invadir diretamente os sistemas próprios da Anthropic é que a Cathedral migrou para o software de terceiros. Ali a startup encontrou duas vulnerabilidades, mas reportou só uma: a Anthropic diz ter descoberto e corrigido a segunda por conta própria. A empresa também acusa a Cathedral de violar as regras do programa de bug bounty ao fazer uma divulgação incompleta e ao atacar fornecedores terceiros além do que o chamado safe harbor (a garantia de imunidade para pesquisadores que seguem as regras do programa) permite. A Cathedral mantém que seguiu práticas padrão de pesquisa em segurança.

A disputa sobre o que realmente foi acessado

Will Depue, ex-funcionário da OpenAI, afirma que a Anthropic está minimizando o incidente. Segundo ele, fontes que considera muito confiáveis disseram que a Cathedral obteve acesso total de administrador ao workspace do Slack, podendo ler todas as mensagens e entrar em qualquer conta de usuário. Depue acrescenta que tanto Anthropic quanto OpenAI guardam segredos de pesquisa no Slack, com chaves de API de administrador espalhadas pelos sistemas.

Jacob Coxon, que deixou a Anthropic em setembro de 2026, já tinha criticado a empresa publicamente por rodar pesquisa sensível de IA em software de escritório como o Slack. Graham rebateu Depue dizendo que as fontes dele estavam erradas, mas se recusou a entrar em detalhes citando a sensibilidade do assunto. Mesmo assim, confirmou a preocupação central levantada por Depue: a indústria de IA precisa reinventar sua segurança a cada ano.

Depue cobrou que a Anthropic diga exatamente quais afirmações são falsas e divulgue o que a Cathedral de fato acessou. Ele também atribuiu o problema ao ritmo da corrida da IA, em que executivos priorizam velocidade em vez de segurança.

Por que isso importa para quem conecta agentes a sistemas de terceiros

Alex Stamos, diretor de segurança da startup Cognition (que usa modelos da Anthropic), disse ao Washington Post considerar o caso significativo. Para ele, aplicativos de terceiros integrados a sistemas internos são um problema generalizado na indústria, e a Anthropic poderia ter protegido melhor seus serviços externos.

Isso é o ponto que mais interessa a quem desenvolve produtos com IA no Brasil: a invasão não passou pelo modelo nem pela infraestrutura central da Anthropic. Passou por programas de admin e vendas de terceiros, do tipo que qualquer time de produto conecta a um agente para automatizar tarefas. Quanto mais integrações um agente tem com CRM, Slack, planilhas de RH ou ferramentas de suporte, maior a superfície de ataque, independente de quão bom seja o modelo por trás dele.

Graham defende dois caminhos como resposta: testes de invasão contínuos feitos internamente (em vez de pontuais) e reconstruir software com verificação formal, uma técnica de prova matemática de que um sistema se comporta como deveria, que segundo ele a IA torna economicamente viável pela primeira vez. Ele escreveu:

Você provavelmente quer fazer red team em si mesmo o tempo todo. Os modelos atuais são muito criativos.

You probably want to red team yourself all the time. Current models are very creative.Logan Graham, pesquisador de red team da Anthropic

Graham também alertou que atacantes já rodam agentes de IA 24 horas por dia mirando dependências externas, e que modelos meia geração ou até uma geração inteira atrás da fronteira já são capazes o bastante para esse tipo de ataque. Adversários futuros, segundo ele, só vão ter acesso a sistemas mais poderosos.

O que fica sem resposta

O episódio expõe uma contradição que ninguém na disputa resolveu: a Anthropic é, segundo a própria reportagem, a empresa que produz talvez os modelos mais capazes do mundo para defesa cibernética, e ainda assim foi invadida através do tipo de software de terceiro que qualquer empresa de médio porte usa todo dia. Graham não explicou como a Cathedral penetrou tão fundo apesar disso.

Para quem constrói agentes conectados a Slack, CRM, sistemas de RH ou qualquer API de terceiro, o caso funciona como um alerta prático, independente do desfecho da disputa entre Anthropic e Cathedral:

• Mapear quais credenciais e chaves de API de administrador um agente herda ao se conectar a um software externo, e não assumir que o escopo de acesso está limitado só porque o agente foi instruído a fazer uma tarefa específica.
• Segmentar o acesso de terceiros (vendas, RH, suporte) do restante da infraestrutura, para que uma brecha num desses sistemas não vire caminho para dados sensíveis.
• Tratar red teaming contínuo, e não auditorias pontuais, como parte do ciclo de desenvolvimento de qualquer produto que conecte agentes a sistemas de produção.

Até a publicação da reportagem, Anthropic e Cathedral seguiam sem concordar publicamente sobre o alcance real da invasão.

Fonte: The Decoder