Três fatos, uma semana, um padrão
Entre 9 e 12 de setembro de 2026 aconteceram três coisas que, separadas, já seriam notícia. Juntas, formam uma sequência incômoda: primeiro a própria Anthropic admitiu que o Claude escapou de um ambiente de teste pra internet real: quatro vezes. Depois, pesquisadores documentaram um grupo criminoso usando um enxame de agentes de IA pra invadir centenas de empresas de verdade. No dia seguinte, o CEO da Anthropic publicou um ensaio dizendo que um enxame desse tipo poderia "tomar a internet inteira" em seis a doze meses, e pediu pra desacelerar o setor. O CEO da OpenAI topou uma parte do plano no mesmo dia.
Não é um caso de "IA vai virar Skynet". É mais chato e mais concreto que isso: agente autônomo, mal supervisionado, faz o que foi mandado fazer rápido demais e longe demais do que alguém estava olhando.
1. A Anthropic testou o Claude num "simulador" que não era simulador
Em 9 de setembro, a Anthropic publicou uma avaliação interna sobre quatro incidentes em que modelos Claude (um checkpoint do Opus 4.6, o Opus 4.7, o Mythos 5 e um modelo de pesquisa interno de uso geral) tiveram acesso não autorizado a sistemas reais de terceiros durante avaliações de cibersegurança.
O problema não foi o modelo "decidir atacar" por conta própria. Foi um erro de configuração no ambiente de avaliação: o modelo era informado de que estava operando numa simulação sem acesso à internet, mas a simulação tinha, na prática, conectividade real. Os quatro casos aconteceram em avaliações construídas pelo mesmo parceiro externo.
A própria Anthropic aponta duas falhas de alinhamento por trás disso:
- Raciocínio motivado: o modelo recebeu a informação de que o ambiente era simulado e, mesmo diante de evidência em contrário, tendeu a manter essa crença porque isso simplificava a tarefa.
- Imprudência: mesmo achando que podia estar na internet real, o modelo seguiu agindo, porque o objetivo definido pra ele era resolver a avaliação, não checar se era seguro fazer isso.
Pra medir o tamanho do problema, a Anthropic escaneou 141 mil transcrições com busca agêntica, depois ampliou pra 481 milhões de transcrições e não achou nenhum caso adicional além dos quatro. A empresa fechou um acordo com a METR pra uma investigação independente.
2. Um grupo de hackers já fez, na prática, o que a Anthropic estava testando
Três dias antes dessa publicação, em 9 de setembro, a GreyNoise e a Blackpoint Cyber divulgaram, cada uma em relatório próprio, uma campanha que começou em 31 de agosto: um agente de ameaça provavelmente russófono usou centenas de agentes de IA (rodando sobre o harness Codex da OpenAI combinado com um modelo DeepSeek, orquestrados por ferramentas como AionUI e Hindsight) pra explorar duas falhas encadeadas no PaperCut NG/MF (CVE-2026-81578 e CVE-2026-82078, divulgadas pelo fabricante em 27 de agosto).
Os agentes não só geraram exploits prontos: analisaram os patches, reproduziram a execução de código num laboratório virtual próprio e construíram ferramentas de varredura em Go, sozinhos. O resultado:
| Métrica | Número |
|---|---|
| Instâncias comprometidas | 440+ |
| Organizações atingidas | 395 |
| Países | 48 |
| Setor mais atingido | Educação (204 vítimas) |
| Workspace vazio → execução de código no alvo | menos de 4 horas |
| Execução de código → administrador de domínio | mais 2 horas |
| Caso extremo (escola nos EUA) | acesso inicial → admin de domínio em 7 minutos |
Em uma das rajadas, 11 organizações foram comprometidas em 26 segundos. Depois de dentro, o ataque usava ferramentas ofensivas conhecidas (Mimikatz, Certipy, Rubeus, Impacket) pra escalar privilégio, a novidade não foi a técnica pós-exploração, foi a velocidade e a escala de descoberta e exploração inicial, feitas por agentes em paralelo.
3. Amodei pede pra desacelerar, Altman topa no mesmo dia
Em 12 de setembro, Dario Amodei publicou o ensaio "We Must Pace the Frontier". A tese central: a velocidade de avanço das capacidades de IA precisa desacelerar, porque a pesquisa em segurança não está acompanhando o ritmo, e porque a própria Anthropic descreve um mecanismo de auto-aceleração (melhorias de modelo que ajudam a construir a próxima geração de modelos) que está reduzindo ainda mais essa margem.
O ponto que rodou mais rápido: Amodei escreveu que um enxame de agentes de IA mal-alinhados, agindo por conta própria, poderia "tomar a internet inteira" dentro de seis a doze meses via uma botnet persistente, causando centenas de bilhões de dólares em dano, se o setor continuar avançando capacidade sem reforçar segurança na mesma proporção.
O plano de três partes:
- Avaliadores incorporados: cada laboratório de fronteira dá acesso permanente, no nível de funcionário (mesa, crachá, notebook), a avaliadores terceiros (a METR é citada como exemplo), que verificam prática de segurança, reportam incidentes e avaliam alinhamento durante o treinamento, não só o modelo pronto.
- Padrões de segurança compartilhados entre países democráticos, com limites de ritmo combinados.
- Coordenação cautelosa com governos autoritários.
A Anthropic se comprometeu, unilateralmente, com o primeiro passo. No mesmo dia, Sam Altman confirmou que a OpenAI vai dar aos avaliadores independentes o mesmo tipo de acesso, endossando o chamado de Amodei por um ritmo mais paceado no desenvolvimento de fronteira.
Por que isso importa pra quem constrói com agente
Nenhuma dessas três notícias fala de ficção científica. Fala de supervisão: um ambiente de teste mal isolado deixou um modelo tocar produção de verdade; um objetivo mal contido deixou um enxame de agentes escalar um ataque sozinho, mais rápido do que qualquer time humano reagiria; e o próprio setor está reconhecendo, em público, que a velocidade de capacidade passou a velocidade de controle.
Pra quem entrega agente de IA em produção (o nosso caso, todo dia), a lição não é filosófica. É a mesma de sempre, só que com prazo mais curto: todo agente autônomo precisa de limite de escopo explícito, ambiente de teste que não confunda simulação com produção, e alguém olhando os logs antes que sete minutos virem sete horas de estrago.