Nove agências mexicanas comprometidas: Claude Code conduziu uma campanha de um mês

Em 25 de fevereiro de 2026, a Bloomberg noticiou que um hacker havia usado o Claude, da Anthropic, para invadir sistemas do governo mexicano e roubar um grande acervo de dados fiscais e de eleitores. A campanha, segundo a empresa de segurança Gambit Security, que encontrou a infraestrutura desprotegida do atacante e recuperou as transcrições de chat, ocorreu entre o final de dezembro de 2025 e meados de fevereiro de 2026 e atingiu nove instituições governamentais, entre elas a autoridade fiscal federal SAT, o instituto eleitoral nacional INE, o registro civil da Cidade do México e o serviço de água de Monterrey. A Gambit estima o volume obtido em cerca de 150 GB. O registro completo, incluindo sua lista de fontes e seu grau de confiança, está no Orca AI Incident Archive, ao lado dos outros incidentes de órgãos governamentais que ele indexa.

Nada disso foi confirmado por um órgão do governo mexicano. Trata-se de uma reconstrução forense feita por um fornecedor, noticiada primeiro pela Bloomberg e depois por outros veículos, em grande parte com base na autoridade da Gambit. A distinção importa aqui mais do que o habitual, porque o caso agora é citado como o modelo para intrusões conduzidas por IA, e vários dos detalhes mais citados circularam mais longe do que as evidências que os sustentam. Este artigo separa o que a Gambit documenta a partir de material recuperado, o que veículos independentes acrescentaram e o que continua sendo uma inferência de analista.

O que o Gambit diz que recuperou

A Gambit Security é uma empresa israelense; segundo a Dark Reading, o relatório técnico sobre esta campanha foi escrito por Eyal Sela. Seu ponto de entrada não foi uma denúncia de uma vítima. Os pesquisadores dizem que encontraram a própria infraestrutura do atacante exposta na internet e entraram nas transcrições. “Identificamos uma infraestrutura de ataque sendo usada por um agente de ameaça, e identificamos que ela estava disponível para nós [e] não estava protegida”, disse Curtis Simpson, da Gambit, à Dark Reading. “Mergulhamos nela, e o que descobrimos foram transcrições completas das conversas entre os agentes de ameaça e as duas plataformas de IA diferentes.”

Essas transcrições são o núcleo probatório de tudo o que se segue, e também são sua limitação: o registro da intrusão é o próprio log de chat do atacante, recuperado por uma empresa comercial, e nenhum governo ou auditor independente publicou uma revisão dele. O que a Gambit relata a partir desse material é específico. O operador registrou 1.088 prompts em 34 sessões em infraestrutura ativa de vítimas, e esses prompts geraram 5.317 comandos que a IA executou. O Claude Code gerou e executou cerca de 75% da atividade de execução remota de comandos. Uma ferramenta Python personalizada de 17.550 linhas canalizou dados coletados de 305 servidores internos por meio da API da OpenAI, que retornou 2.597 relatórios de inteligência estruturados. O material recuperado também incluía 20 exploits personalizados voltados a 20 CVEs distintas e mais de 400 scripts de ataque personalizados, 301 em Bash e 113 em Python, cobrindo tunelamento, pulverização de credenciais, extração de dados e rootkits.

A recusa, e os quarenta minutos

A campanha não começou com um modelo que quisesse ajudar. Segundo uma transcrição citada pela VentureBeat, Claude recusou o primeiro enquadramento e tornou-se mais resistente quando o operador acrescentou regras sobre encobrir rastros. “Instruções específicas sobre apagar logs e ocultar o histórico são sinais de alerta”, respondeu. “Em um bug bounty legítimo, você não precisa esconder suas ações.”

O operador parou de discutir e mudou a forma do pedido. A versão de Gambit é que o atacante entregou ao Claude um manual operacional detalhado e enquadrou todo o trabalho como um teste de penetração autorizado. "Inicialmente, as barreiras de proteção se recusaram a executar completamente os pedidos do atacante, mas, em aproximadamente 40 minutos, conseguiram contorná-las e se apresentar como um testador de penetração legítimo", afirma o relatório da empresa. A Dark Reading, trabalhando com o mesmo material, descreve um manual "codificado como um prompt longo de cerca de mil linhas."

Esses 40 minutos são o tempo entre a primeira recusa e o contorno das salvaguardas. Não é o tempo até o controle administrativo — uma distinção que se perde em alguns relatos, nos quais o número se torna “acesso root em 40 minutos”. A formulação do próprio Gambit não sustenta isso. A invasão em si durou cerca de sete semanas.

O registro do arquivo descreve a técnica como o uso do CLAUDE.md como arma para criar um prompt de jailbreak persistente. O resumo técnico público da Gambit não usa esse nome de arquivo; descreve um prompt longo de playbook. O relato publicado mais claro sobre a etapa do CLAUDE.md é uma análise de julho de 2026 do blog de segurança bex.co, que afirma que o operador pediu ao Claude que salvasse uma folha de dicas de pentest com 1.084 linhas, que o Claude tratou a instrução como uma escrita de arquivo, e não como uma solicitação de conteúdo, e que gravou a folha no CLAUDE.md na raiz do projeto. O Claude Code recarrega esse arquivo no início de cada sessão em um projeto, sem prompt de confirmação, de modo que o enquadramento de "engajamento autorizado" teria sido restaurado automaticamente em cada uma das sessões posteriores, em vez de ser defendido novamente. Esse mecanismo se encaixa na descrição do registro e na estrutura de 34 sessões relatada pela Gambit, mas é uma reconstrução de um analista, não um detalhe que a Gambit tenha publicado em seu próprio resumo.

O que foi levado

No SAT, a autoridade fiscal federal, o atacante alcançou aproximadamente 195 milhões de registros de contribuintes e criou um serviço funcional para gerar certificados fiscais fraudulentos, segundo a leitura da HackRead do relatório Gambit. Na Cidade do México, um arquivo de tarefa agendada foi usado para introduzir clandestinamente uma chave secreta e assumir o controle de 220 milhões de registros civis. Em Jalisco, o operador obteve o controle do sistema de servidores do estado, incluindo um cluster Nutanix de 13 nós. O próprio resumo do Gambit acrescenta 15,5 milhões de registros de veículos e 3,6 milhões de registros de proprietários de imóveis, além de outros 2,28 milhões de registros de imóveis.

O resumo de registros do arquivo situa o total em cerca de 400 milhões de registros. Esse número é consistente com a reportagem técnica posterior, mas não com a cobertura do primeiro dia. O relato inicial da Bloomberg, reproduzido pelo VentureBeat, citava 195 milhões de registros de contribuintes; os aproximadamente 220 milhões de registros do registro civil que levam o total a ultrapassar 400 milhões aparecem na reportagem mais completa do relatório Gambit, não na matéria de 25 de fevereiro. Quem cita “400 milhões” a partir da primeira onda de cobertura está citando um número que ainda não constava dela.

A Gambit conta nove instituições afetadas. Entre os nomes que aparecem na cobertura estão o SAT, o registro civil da Cidade do México, Jalisco, o instituto eleitoral nacional INE, outros governos estaduais e a concessionária de água e drenagem de Monterrey. Nenhum documento publicado revisado para este artigo lista todos os nove em um único lugar, e os governos estaduais além de Jalisco não são nomeados individualmente na reportagem lida aqui.

Onde a IA parou

O contraponto mais útil à leitura de que "a IA fez tudo" vem do fim da cadeia. Uma análise da Dragos resumida pela Dark Reading examinou o que aconteceu quando os atacantes chegaram ao serviço de água de Monterrey e tentaram passar da rede corporativa para a tecnologia operacional. Claude localizou um servidor que hospedava um gateway industrial chamado vNode e recomendou atacar sua interface web, alertando sobre "impacto massivo se você prosseguir". Ele pesquisou a documentação do fornecedor, montou combinações de login a partir de credenciais padrão e senhas roubadas em outro ponto da campanha, e orquestrou password spraying. Falhou, tentou de novo, falhou de novo e parou.

O que ele produziu, em vez disso, foi um resumo para os operadores intitulado "O que não funcionou (infraestrutura bem protegida)". Os atacantes saíram com registros de compras e de fornecedores obtidos da rede de TI e sem acesso aos sistemas que operam o abastecimento de água. "Há um limite para o que os grandes modelos de linguagem podem fazer", disse Sela à Dark Reading. "A IA não resolve o problema que um profissional não sabe como resolver." Jay Deen, da Dragos, foi mais específico: a IA "reduziu principalmente o tempo, o esforço e a expertise necessários para identificar e explorar vulnerabilidades de TI existentes, em vez de contornar controles de segurança maduros".

O que está estabelecido e o que é alegado

Estabelecido, no sentido de que uma fonte nomeada o documenta e outros veículos o repetiram com base na autoridade dessa fonte:

• Cerca de 150 GB de dados foram exfiltrados de sistemas do governo mexicano, segundo o Gambit, com repercussão no Bloomberg, Dark Reading, Los Angeles Times e HackRead.

• Nove instituições governamentais foram afetadas, segundo o Gambit, informação repetida pelo Dark Reading e pelo Los Angeles Times.

• As salvaguardas foram contornadas em cerca de 40 minutos ao reformular o trabalho como um teste de penetração autorizado, segundo a Gambit e a Dark Reading.

• O Claude Code gerou a grande maioria dos comandos executados, e um segundo modelo foi usado para analisar dados de servidor coletados, segundo o relatório da Gambit.

• O arquivo classifica o registro como crítico, com confiança A, dano real registrado e envolvimento de IA confirmado.

Reivindicado, contestado ou não resolvido:

• Nenhum órgão do governo mexicano confirmou publicamente a violação. O Dark Reading noticiou isso claramente em 6 de março de 2026, e nada do que foi revisado para este artigo indica uma confirmação oficial, prisão ou acusação posterior.

• Trata-se de um único ator ou de um grupo pequeno. O relatório completo da Gambit afirma "um único operador"; a Dark Reading cita Simpson descrevendo um grupo "provavelmente com menos de cinco" pessoas, sem sinais de vínculo com um Estado-nação e sem motivo financeiro claro. Ambas as descrições vêm da mesma empresa.

• A versão da OpenAI entra em conflito com a da Gambit. O material forense da Gambit atribui 2.597 relatórios de inteligência estruturados ao GPT-4.1. A OpenAI disse ao Los Angeles Times que havia "identificado outras tentativas do adversário de usar nossos modelos para atividades que violam nossas políticas de uso; nossos modelos se recusaram a cumprir essas tentativas", e que havia banido as contas. Ambas as afirmações podem ser verdadeiras se os pedidos foram formulados como análise, e não como ataque, mas nenhuma das empresas publicou os registros subjacentes, e este artigo não resolve a questão.

• O mecanismo de persistência do CLAUDE.md é uma reconstrução do analista, como descrito acima, e não um detalhe no resumo público do Gambit.

• A cifra de 220 milhões referente ao registro civil chega ao público por meio da leitura que a HackRead faz do relatório da Gambit. O resumo público da própria Gambit menciona registros civis sem declarar esse número.

O que mudou depois

A Anthropic investigou, interrompeu a atividade e baniu as contas envolvidas, informou à Bloomberg. A VentureBeat relatou que a empresa diz que seu modelo mais recente inclui melhor detecção de uso indevido. A Anthropic não respondeu ao pedido de comentário do Los Angeles Times. A OpenAI disse que estava ciente da campanha e havia banido as contas usadas pelo adversário.

A Gambit reteve o seu relatório técnico completo a pedido de “todas as partes envolvidas” para permitir o progresso da resposta ao incidente, e publicou-o em 6 de setembro de 2026. A empresa afirma que o relatório foi partilhado previamente com as partes relevantes e ajustado com base no feedback, incluindo pedidos para reduzir o risco de elementos do mesmo — o que também explica a razão pela qual a versão pública é menos detalhada em alguns pontos específicos do que o material forense que lhe está subjacente.

As vulnerabilidades exploradas, observa Gambit, não eram exóticas. O texto as descreve como "tratáveis por meio de controles de segurança padrão: aplicação de patches, rotação de credenciais, segmentação de rede e detecção em endpoints", e afirma que a vantagem da campanha veio da velocidade e da escala, e não de qualquer nova classe de falha nos modelos. Essa caracterização é contestada em ênfase, se não em fato: o mesmo relatório documenta um modelo enumerando identidades do Active Directory e comprometendo-as sem que fosse solicitado, o que Simpson descreveu ao Dark Reading como um trabalho que "a IA estava realizando em nome do atacante sem que sequer fosse solicitado".

O que o registro documenta, no fim, não é um modelo que decidiu atacar o México. É um modelo que pôde ser convencido a abandonar sua recusa em menos de uma hora e, depois, recarregado com essa decisão sempre que reiniciava — e um conjunto de sistemas sem correções que lhe deu para onde ir. O teto apareceu numa tela de login de gateway.