Claude dentro da cadeia de intrusão: relatório de ameaças da Anthropic de setembro de 2026

A Anthropic publicou seu quarto relatório de inteligência de ameaças, Detectando e combatendo o uso indevido de IA: setembro de 2026, em 10 de setembro de 2026. O documento de 154 páginas abrange a atividade que sua equipe de Inteligência de Ameaças interrompeu entre dezembro de 2025 e agosto de 2026, e seu número mais concreto de dano cabe em um único parágrafo: um ator de espionagem que a Anthropic rastreia como GTG-20006, cuja atribuição o relatório chama de "consistente com relatos públicos que vinculam o ator ao Midnight Blizzard", roubou credenciais de VPN de uma autoridade de tecnologia do governo norte-africano, assumiu o controle de seu servidor central de contas e saiu com mais de 300.000 registros nacionais de identidade e os dados do registro comercial de mais de meio milhão de empresas. O registro de arquivo para esta divulgação, com sua classificação de confiança e as entradas arquivadas ao redor dele, está mantido no Orca AI Incident Archive.

O relatório é de um fornecedor que divulga o uso indevido do seu próprio produto, o que estabelece tanto o seu valor quanto os seus limites. É um relato em primeira mão — a telemetria da Anthropic, os banimentos de contas pela Anthropic, os julgamentos da Anthropic sobre quem estava do outro lado — e nenhum auditor externo verificou seus números. O restante deste texto separa quatro coisas: o que o relatório diz ter observado, o que ele apenas atribui, o que é contestado e o que o resumo do arquivo afirma que o documento não contém.

O que foi publicado e o que isso abrange

Detetar e combater o uso indevido da IA: setembro de 2026tem data de 10 de setembro de 2026 na capa e 154 páginas, com listas de indicadores de comprometimento para muitos dos casos. Segue os relatórios anteriores da Anthropic de março, agosto e novembro de 2025 e abrange sete áreas de dano: operações cibernéticas, operações de influência, vigilância, armas convencionais, uso indevido biológico, burlas e fraudes, e destilação ilícita.

Os modelos envolvidos eram Claude Haiku, Claude Sonnet e Claude Opus. A Anthropic afirma que nenhum dos casos de uso indevido envolveu modelos Claude Fable ou da classe Claude Mythos, com exceção de um caso de destilação ilícita. Os atores abrangem "grupos suspeitos de serem patrocinados pelo Estado, criminosos com motivação financeira, fornecedores comerciais de spyware, instituições de propaganda estatal e indivíduos com motivação política".

Os estudos de caso trazem rótulos internos — designadores GTG, que o relatório define como "designadores internos da Anthropic para atores observados abusando da IA". Eles são convenções de nomenclatura, não conclusões jurídicas, e são o único identificador que a maioria desses atores possui.

A afirmação analítica da Anthropic é mais restrita do que o número de casos: que a IA "eliminou a lacuna de mão de obra e ferramentas" entre operações estatais e operadores individuais, e que "a sofisticação deixou de ser um sinal confiável de quem está por trás de uma operação". O relatório mede o que chama de uplift — velocidade, escala e profundidade — e acrescenta duas ressalvas aos seus próprios estudos de caso: os humanos "retiveram as decisões que mais importam para eles", incluindo a seleção de alvos e como os dados roubados são monetizados, e "autonomia e dano são eixos separados".

Os 300.000 registros de identidade: GTG-20006

GTG-20006 é o caso que contém o número do registro. A Anthropic descreve um operador falante de russo usando o handle "JackPoterz" e afirma que sua atribuição é "consistente com relatos públicos que vinculam o ator ao Midnight Blizzard" — uma comparação com a atribuição feita por terceiros, em vez de uma confirmação independente, e o relatório não diz a que relatos se refere.

A intrusão que produziu o número teve como alvo uma autoridade governamental de tecnologia da África do Norte. De acordo com o relatório, o ator roubou credenciais de um dispositivo VPN, usou-as para assumir o servidor central de contas da organização e, a partir daí, exfiltrou "seu banco de dados completo de credenciais: mais de 300.000 registros de identidade nacional, e os dados do registro comercial de mais de meio milhão de empresas que operam no país". Os registros pertenciam a um órgão governamental, e as pessoas neles contidas não têm relação alguma com o fornecedor de IA desta história.

A campanha mais ampla do mesmo ator atingiu "mais de 20 organizações distintas" — ministérios do governo, órgãos de defesa e inteligência, embaixadas, think tanks e empresas do setor de defesa, concentradas na Ucrânia e na Europa, mas estendendo-se ao Oriente Médio e a agências marítimas na Ásia. Entre os detalhes específicos:

• Wi-Fi do hotel: o ator comprometeu pelo menos três fornecedores de hospitalidade que operam Wi-Fi para hóspedes e, em seguida, modificou registros DNS para que o tráfego de hóspedes, os identificadores de dispositivos e os endereços IP fossem para servidores controlados pelo ator. A Microsoft Threat Intelligence publicou um relatório em julho de 2026 sobre o mesmo método de roubo e entrega sob o nome CaptiveCrunch, que o relatório da Anthropic cita.

• WhatsApp: as contas das vítimas foram vinculadas como dispositivos companheiros usando navegadores headless e a biblioteca de automação de código aberto WPPConnect, com confirmações de leitura suprimidas enquanto conversas em russo e ucraniano eram exportadas em massa. Pelo menos dois antigos altos funcionários ucranianos foram visados desta forma.

• Drones: as caixas de correio de pelo menos dois fabricantes de componentes para drones foram exportadas em massa, e um kit completo de desenvolvimento de software proprietário para um sistema de visão para drones foi roubado e submetido a engenharia reversa ao longo de vários dias.

• Evasão: agentes de monitoramento observavam se os implantes implantados estavam sendo detectados e, quando eram, os agentes modificavam e recompilavam o malware até que não fossem mais.

A conclusão da Anthropic sobre o ciclo de evasão é que ele inverte a vantagem do defensor. “A IA inverteu o custo de volta para os defensores”, afirma o relatório, porque uma nova detecção não compra mais tempo quando um adversário capaz consegue reconstruir mais rápido do que a assinatura é distribuída.

O segundo caso vinculado ao Estado: GTG-10007

O GTG-10007 é o outro caso no relatório com enquadramento estatal explícito, e o mais incomum. A Anthropic descreve operadores falantes de chinês “provavelmente residentes em Changsha, na província de Hunan, na China”, incluindo dois estudantes de graduação de uma universidade local que estudam engenharia de computação e comunicações; um deles havia estagiado na empresa de segurança Sangfor e estava fazendo entrevistas na QiAnXin para uma função de segurança ofensiva.

O grupo teve como alvo aproximadamente cinquenta organizações nos setores de educação, varejo, energia, tecnologia, saúde, finanças, manufatura e governo. A Anthropic afirma que extraiu centenas de megabytes de dados pessoais de estudantes do armazenamento em nuvem de uma empresa de tecnologia educacional, alcançou sistemas de produção em um varejista e recuperou registros de cidadãos — nomes, números de telefone e endereços residenciais — de uma agência governamental do Sudeste Asiático.

O que o distingue é o trabalho com vulnerabilidades: um programa de pesquisa permanente contra uma classe de software de segurança "implantado especificamente para detectar intrusões", que, segundo a Anthropic, produziu múltiplas vulnerabilidades anteriormente desconhecidas validadas pelo ator em seu próprio laboratório, exploits funcionais para várias famílias de appliances de rede e segurança, e "mais de uma dúzia de possíveis descobertas de zero day em um único mês" a partir de um fluxo de trabalho em iteração contínua. Uma frota separada de treze agentes de coleta era executada conforme uma programação contra material público militar e governamental sem nenhum humano no circuito.

A Anthropic não nomeia os produtos de segurança, as vulnerabilidades nem a agência governamental, e o relatório não vincula suas descobertas a nenhum identificador CVE publicado.

A metade criminosa: roubo de dados e chaves de API como carga útil

A seção de cibersegurança não trata apenas de espionagem. Dos vários clusters com motivação financeira, o maior é atribuído a operadores que a Anthropic descreve como supostos afiliados ao coletivo ShinyHunters, rastreados como GTG-50014. O relatório expõe a escala deles de forma clara:

O pipeline de credenciais de um operador baixou em massa 1,8 milhão de APKs Android distintos, descompilou-os e os examinou em busca de segredos embutidos no código, encaminhando descobertas verificadas para um grupo do Telegram organizado em mais de 100 tipos de segredos.

• Um afiliado despejou mais de 2.100 conjuntos de tokens do Azure AD abrangendo mais de 40 locatários corporativos em cerca de 34 horas, após invadir um provedor de SaaS e alcançar aproximadamente 200 de suas organizações clientes a jusante.

• Um comprometimento de um fornecedor de tecnologia rendeu mais de um terabyte de dados, incluindo centenas de milhares de identificadores nacionais e milhões de registros de cartões de pagamento, disponibilizados em um site público "para pressionar a vítima a pagar um resgate".

• Em uma companhia aérea, os atores chegaram a sistemas que continham dezenas de milhões de registros de passageiros; em uma empresa de energia, alegaram que podiam controlar remotamente a corrente de carregamento dos carregadores de VE domésticos dos clientes.

GTG-50029, um hacktivista francófono solitário, alcançou pelo menos 14 dos 42 alvos europeus monitorados nos setores político, midiático e de think tanks, exfiltrou uma estimativa de 12 a 26 GB de dumps de bancos de dados e obteve aproximadamente 140.000 registros que incluíam opiniões políticas dos usuários — enquanto construía uma plataforma de doxxing carregada com dezenas de milhões de linhas de dados vazados.

O fio condutor que atravessa os casos financeiros é que o próprio acesso à IA se tornou butim. Operadores roubaram chaves de API da Anthropic de ambientes de clientes e executaram suas próprias cargas de trabalho de ataque às custas de terceiros — o que o relatório chama de aplicar "living off the land" à IA. A Anthropic é explícita quanto ao limite: "Em todos os casos, as chaves de API envolvidas foram roubadas dos ambientes de clientes da Anthropic. Os próprios sistemas da Anthropic não foram comprometidos por esse ator." O GTG-50020, um grupo de língua russa que passou de intrusões em reservas de hotéis para a indústria de IA, atacou cerca de trinta empresas de IA em aproximadamente quatro dias; seu objetivo declarado era obter acesso a um modelo Claude de pré-lançamento e, segundo o relatório, "o ator nunca obteve acesso".

Estabelecido, atribuído, contestado, ausente

Estabelecido. O relatório existe, está datado de 10 de setembro de 2026 e tem 154 páginas. Suas narrativas de intrusão, listas de indicadores e ações de banimento são o relato em primeira mão da própria Anthropic, e veículos independentes — The Next Web no dia da publicação, Digital Watch Observatory e notas de pesquisa da Cloud Security Alliance — descrevem o mesmo documento, as mesmas sete áreas de dano e os mesmos detalhes do GTG-20006. Nenhum veículo publicou sua própria reconstrução forense da intrusão no Norte da África, então o número de 300.000 se baseia na telemetria de uma única empresa.

Atribuído. A vinculação ao Estado é uma avaliação da Anthropic, matizada no seu próprio texto: "consistente com relatos públicos que ligam o ator ao Midnight Blizzard". A localização em Changsha, o histórico profissional dos estudantes e o enquadramento estatal dos casos em língua chinesa são igualmente caracterizações da Anthropic, e não uma atribuição governamental. A cobertura do The Next Web cita o chefe de inteligência de ameaças da Anthropic, Jacob Klein, em entrevistas ao Axios e ao The New York Times, mas não apresenta nenhum especialista externo que avalie os números.

Contestado. A seção de destilação é o único ponto em que uma parte acusada respondeu. A Anthropic afirma ter encontrado “ataques adicionais de destilação contra o Claude provenientes de sete laboratórios sediados na China” e descreve, entre outros, a Moonshot AI repassando quase 300.000 solicitações de clientes à Anthropic ao longo de dez dias por meio de 5.380 contas fraudulentas. Pequim rejeitou alegações dos EUA relacionadas à destilação, informou o The Next Web. O registro do arquivo marca este incidente como não contestado; essa sinalização não se estende a todas as alegações contidas no documento.

Ausente. O resumo de uma linha do arquivo sobre este registro diz que o relatório documenta o uso do Claude "pela primeira vez" para triagem de vítimas e geração de cópias de ransomware. Nenhum dos dois aparece nas fontes citadas. A palavra "ransomware" não ocorre no PDF de 154 páginas nem na página web do relatório, e "triagem" também não. A extorsão que o relatório descreve é pagar-ou-vazar sobre dados roubados, não criptografia; seu único uso da palavra "ransom" é o fornecedor de tecnologia cujos arquivos roubados foram expostos publicamente para forçar o pagamento. Trate essas duas alegações como não sustentadas pelas fontes citadas por este registro. Os 300.000 registros de identidade, por contraste, são declarados na própria seção GTG-20006 do relatório.

O que a Anthropic diz que fez, e o que não divulgou

Para cada caso, o relatório apresenta uma variante da mesma resposta: contas banidas, detecção adicional implantada, inteligência compartilhada com “autoridades e parceiros do setor, quando apropriado”, e salvaguardas reforçadas com base no que foi aprendido. A seção de destilação acrescenta medidas técnicas contra a técnica de replay de assinatura de raciocínio usada para extrair traços de raciocínio do Claude.

O que não é divulgado é quase tão consistente: quantas contas foram banidas, quando cada operação foi interrompida em relação ao momento em que começou, quais autoridades receberam quais informações de inteligência e como os atores foram detectados em primeiro lugar. Essas omissões são comuns em um relatório de fornecedor e também são o motivo pelo qual o documento não pode ser auditado de fora.

A questão política foi levantada por outros. Uma nota de investigação da Cloud Security Alliance publicada após o relatório argumenta que este não contém «nenhuma referência à Lei de IA da UE, ao Serviço de IA ou ao Artigo 55», e questiona se a utilização indevida deliberada por terceiros se enquadra sequer na definição de «incidente grave» do Artigo 55, que foi redigida em torno do mau funcionamento do modelo e não do comportamento de um atacante. A nota admite que as comunicações ao abrigo do Artigo 55 não são públicas, pelo que o silêncio não prova que nenhuma comunicação tenha sido feita, e afirma que a única comunicação confirmada ao abrigo do regime naquele momento foi a da OpenAI, por volta de 7 de setembro de 2026.

Como ler os números

Duas coisas tornam os números do relatório mais fáceis de usar. A primeira é manter o dano separado da autonomia: a Anthropic relata que vários de seus comprometimentos mais graves vieram de operações em que um humano dirigiu cada etapa, de modo que um caso de baixa autonomia não é um caso de baixa gravidade. A segunda é ler os números como uma contagem do que um único fornecedor conseguiu ver. Os 300.000 registros de identidade, os 2.100 conjuntos de tokens e os 140.000 registros de opinião política foram todos produzidos pela empresa ao descrever o uso indevido de seu próprio produto, e os agentes que nunca foram detectados não aparecem em nenhum deles.