noticias
Anthropic diz ter bloqueado espionagem russa e ofensiva chinesa para extrair tecnologia do Claude
A inteligência artificial deixou de ser apenas uma ferramenta usada para escrever mensagens de phishing, revisar código malicioso ou pesquisar possíveis vítimas.
Um novo relatório de inteligência de ameaças da Anthropic descreve operações nas quais sistemas de IA passaram a participar diretamente de diferentes etapas de ataques, espionagem e desenvolvimento de ferramentas ofensivas. A empresa afirma ter identificado e interrompido atividades desse tipo entre dezembro de 2025 e agosto de 2026.
Entre os casos apresentados estão uma operação de ciberespionagem com métodos compatíveis com o grupo conhecido como Midnight Blizzard, historicamente associado à inteligência russa, e campanhas atribuídas pela Anthropic a sete laboratórios chineses de inteligência artificial que teriam tentado extrair capacidades do Claude em larga escala.
As duas histórias são diferentes e não devem ser misturadas. No primeiro caso, o Claude teria sido empregado como instrumento operacional de espionagem. No segundo, a própria tecnologia dos modelos da Anthropic teria se tornado o alvo.
O ponto em comum é mais importante: **modelos avançados de IA estão deixando de ser apenas produtos digitais e se tornando infraestrutura estratégica.**
Claude teria participado de praticamente todo o ciclo de uma operação de espionagem
O episódio mais preocupante descrito pela Anthropic envolve o grupo que a companhia identifica internamente como GTG-20006.
A empresa afirma que técnicas, alvos e outros elementos observados na operação são consistentes com informações públicas sobre o Midnight Blizzard. A atribuição merece cautela: a Anthropic não afirma ter demonstrado publicamente que o governo russo comandava aquela operação específica.
Segundo o relatório, mais de 20 organizações apareceram no planejamento, reconhecimento ou nas operações do grupo. Entre os alvos estavam ministérios, órgãos militares e de inteligência, embaixadas, missões diplomáticas, centros de pesquisa e empresas da indústria de defesa, principalmente na Ucrânia e na Europa.
A IA teria sido incorporada desde o reconhecimento dos sistemas das vítimas até a administração da infraestrutura necessária para os ataques.
Isso representa uma mudança relevante.
No modelo tradicional, um invasor pode consultar uma IA para escrever um script, explicar uma vulnerabilidade ou adaptar uma mensagem de phishing. O humano continua executando e coordenando a operação.
Nos casos descritos pela Anthropic, essa fronteira começa a desaparecer.
De copiloto a operador
A Anthropic afirma que a maioria das operações relevantes analisadas no relatório já utilizava IA por execução direta ou por meio de orquestração.
Estruturas compostas por múltiplos agentes podiam realizar reconhecimento, exploração e processamento de informações, enquanto humanos permaneciam responsáveis principalmente pela definição dos objetivos e supervisão dos resultados.
O GTG-20006 teria criado um fluxo ainda mais sofisticado.
Quando ferramentas de segurança detectavam determinado malware, agentes de IA podiam analisar o problema, modificar o código, recompilar a ferramenta e repetir o processo em busca de uma versão que voltasse a escapar das defesas.
Isso cria uma espécie de ciclo automático de ataque e adaptação.
Historicamente, identificar uma assinatura de malware permitia que empresas de segurança distribuíssem regras capazes de bloquear aquela ameaça em milhares ou milhões de máquinas.
Um atacante precisava então alterar manualmente sua ferramenta e tentar novamente.
Com agentes de IA inseridos nesse circuito, parte dessa resposta também pode ser automatizada.
A consequência é uma corrida em que não apenas a defesa reage ao ataque: **o próprio ataque passa a reagir automaticamente à defesa.**
Hotéis, WhatsApp e fabricantes de drones entraram na operação
O alcance descrito pela Anthropic vai além de servidores corporativos.
O grupo teria comprometido empresas que operavam redes Wi-Fi de hotéis e alterado registros DNS para direcionar parte do tráfego dos hóspedes para infraestrutura controlada pelos atacantes.
Informações coletadas nesses ambientes poderiam ser combinadas com outros dados para localizar pessoas de interesse.
A Anthropic também relata tentativas de comprometimento de contas do WhatsApp por meio da vinculação de dispositivos adicionais às contas das vítimas. Pelo menos dois ex-funcionários ucranianos de alto escalão teriam sido alvos dessa abordagem.
Outro foco recorrente eram tecnologias relacionadas a drones.
Segundo a empresa, caixas de e-mail de pelo menos dois fabricantes de componentes foram exportadas em massa, enquanto um kit proprietário de desenvolvimento de software associado a um sistema de visão para drones teria sido roubado e posteriormente analisado.
Firmware, visão computacional e sistemas de controle aparecem como informações particularmente valiosas nesse tipo de espionagem.
É um sinal importante de como a fronteira entre guerra cibernética, inteligência artificial e indústria militar está ficando menos definida.
Do outro lado da história, o alvo era o próprio Claude
O relatório também detalha uma disputa completamente diferente: empresas tentando aprender com modelos concorrentes.
A Anthropic afirma ter detectado campanhas não autorizadas de destilação associadas a sete laboratórios sediados na China.
Destilação, por si só, não é uma técnica maliciosa.
Na aprendizagem de máquina, um modelo maior e mais sofisticado pode atuar como “professor”, produzindo respostas utilizadas para treinar um modelo menor. Essa técnica ajuda a transferir capacidades reduzindo parte do custo computacional necessário para obtê-las.
O problema apontado pela Anthropic estaria na escala, na ausência de autorização e nos métodos utilizados para obter acesso ao Claude.
A empresa chama essas operações de **destilação ilícita**.
Anthropic acusa Alibaba de mais de 151 milhões de interações
A maior campanha relatada é atribuída pela Anthropic a operadores afiliados à Alibaba.
Segundo a empresa americana, mais de 151 milhões de interações com Claude teriam sido observadas entre maio e julho de 2026.
No pico, a operação teria se aproximado de 3 milhões de interações por dia, utilizando milhares de contas que a Anthropic classifica como fraudulentas.
O objetivo, segundo a investigação da empresa, seria capturar principalmente os processos de raciocínio de versões da família Claude Opus e transformá-los em material para treinamento supervisionado.
A Anthropic sustenta que os dados teriam sido utilizados para ajudar no desenvolvimento de versões dos modelos Qwen.
A acusação é tecnicamente importante porque mostra que a propriedade mais valiosa de um modelo de fronteira pode não ser apenas seu código ou seus pesos.
Seu **comportamento** também pode funcionar como ativo tecnológico.
Se uma empresa conseguir gerar milhões de problemas cuidadosamente selecionados, coletar as soluções produzidas por um modelo superior e treinar outro sistema com esse material, parte das capacidades pode ser reproduzida sem repetir integralmente o processo original de desenvolvimento.
Isso transforma acesso a APIs em um problema de segurança industrial.
Moonshot e DeepSeek são acusadas de algo potencialmente ainda mais delicado
As alegações envolvendo Moonshot e DeepSeek levantam uma segunda questão: privacidade.
A Anthropic afirma que ambas teriam encaminhado determinadas solicitações feitas por seus próprios usuários para modelos Claude.
Em outras palavras, alguém poderia acreditar que estava conversando com determinado modelo enquanto sua solicitação estaria sendo processada, ao menos em alguns casos, pela infraestrutura de outra empresa.
No caso da Moonshot, a Anthropic afirma ter observado mais de 23 milhões de interações entre maio e julho.
Para a DeepSeek, o relatório menciona mais de 12,1 milhões de interações observadas durante apenas 14 dias de julho.
Esses números e atribuições são alegações da própria Anthropic e precisam ser tratados como tal. Eles não equivalem, isoladamente, a uma auditoria independente das empresas acusadas.
Ainda assim, a natureza das informações descritas chama atenção.
Informações confidenciais podem ter atravessado sistemas sem conhecimento dos usuários
De acordo com a investigação da Anthropic, algumas conversas encaminhadas continham informações que aparentemente não deveriam circular entre fornecedores diferentes.
Entre os exemplos apresentados estão código interno, credenciais ativas, documentação empresarial, informações ligadas a sistemas de vigilância chineses e dados associados a uma agência governamental russa relacionada ao Ministério da Defesa.
No caso atribuído à Moonshot, o relatório descreve inclusive informações de vigilância provenientes de centenas de câmeras na cidade chinesa de Chengdu.
A questão aqui deixa de ser somente concorrencial.
Empresas estão integrando modelos de diferentes fornecedores por meio de APIs, gateways, agentes, bibliotecas e serviços intermediários. Para o usuário final, nem sempre é evidente qual modelo realmente processa uma solicitação.
Quando uma mensagem contém código proprietário, documentos empresariais, credenciais ou dados pessoais, essa cadeia de processamento importa.
O nome exibido na interface pode não contar toda a história.
Por que os rastros de raciocínio se tornaram tão valiosos
Existe outro componente técnico particularmente interessante nessa disputa.
Modelos de raciocínio podem realizar várias operações intermediárias antes de produzir uma resposta final. Esses processos contêm exemplos extremamente valiosos de como o sistema de referência resolve problemas complexos.
A Anthropic desenvolveu mecanismos para evitar que determinados rastros internos fossem simplesmente entregues aos usuários.
Segundo o relatório, operadores associados a campanhas de destilação desenvolveram maneiras de contornar algumas dessas proteções, inclusive por meio da reutilização de referências produzidas em sessões anteriores para tentar recuperar informações adicionais sobre o raciocínio do modelo.
É praticamente uma modalidade de engenharia reversa comportamental.
Não é necessário roubar fisicamente os servidores ou copiar diretamente os pesos do modelo se for possível consultar o sistema em escala suficiente para reconstruir parte do que ele sabe fazer.
A guerra dos modelos também é uma guerra por custo computacional
Treinar modelos de fronteira custa caro porque exige grandes quantidades de aceleradores, energia, dados, pesquisadores e tempo de experimentação.
Destilar capacidades já descobertas por um concorrente pode eliminar parte desse caminho.
Essa realidade ajuda a explicar por que grandes empresas americanas de IA passaram a tratar destilação não autorizada como questão econômica e estratégica, e não simplesmente como descumprimento de termos de serviço.
Há também um componente geopolítico inevitável.
Estados Unidos e China disputam semicondutores avançados, capacidade de datacenter, acesso a GPUs e liderança em modelos de inteligência artificial. Nesse contexto, técnicas capazes de reduzir o custo necessário para aproximar modelos chineses dos sistemas americanos têm consequências que ultrapassam a competição comercial.
Isso também exige cautela.
Destilação é uma técnica legítima e amplamente utilizada na indústria. O debate não pode transformar qualquer semelhança entre modelos em evidência automática de apropriação indevida.
O que precisa ser demonstrado é como o acesso ocorreu, em qual escala, sob quais condições e de que maneira os dados obtidos foram utilizados.
O problema maior pode ser a industrialização do ataque
Talvez a conclusão mais significativa do relatório da Anthropic esteja fora dos casos individuais.
Durante anos, boa parte da discussão de segurança sobre IA se concentrou em uma pergunta: modelos conseguiriam descobrir vulnerabilidades completamente novas?
Isso continua relevante, mas não é necessário encontrar uma vulnerabilidade inédita para produzir impacto.
Um agente capaz de automatizar reconhecimento, adaptar ferramentas, analisar grandes volumes de dados roubados, administrar infraestrutura e executar rotinas repetitivas pode multiplicar drasticamente a produtividade de atacantes humanos.
A barreira de entrada também diminui.
Operações que anteriormente exigiriam desenvolvedores de malware, especialistas em infraestrutura, operadores de phishing, analistas de dados e administradores podem concentrar mais funções em um número menor de pessoas apoiadas por agentes especializados.
A IA não precisa inventar uma nova categoria de crime para mudar a segurança digital.
Ela pode simplesmente tornar os crimes existentes mais baratos, rápidos e escaláveis.
Análise da equipe: a segurança da IA não termina quando o modelo recusa um pedido
O relatório mostra uma limitação importante do debate atual sobre segurança de inteligência artificial.
Bloquear a pergunta “como criar um malware?” é relativamente simples quando comparado ao desafio real.
Um operador malicioso não precisa explicar explicitamente todo o objetivo para um único chatbot. Ele pode dividir a operação em tarefas aparentemente legítimas, utilizar várias contas, combinar diferentes modelos e conectar agentes a ferramentas externas.
Nesse cenário, moderação baseada exclusivamente no conteúdo de uma solicitação perde eficiência.
A defesa precisa analisar comportamento.
Volume de consultas, padrões repetidos, criação massiva de contas, reutilização de credenciais, origem do tráfego, sequências de ferramentas e relações entre sessões tornam-se tão importantes quanto aquilo que o usuário escreve.
Existe um paradoxo inevitável.
Quanto mais útil um agente se torna para um administrador de sistemas, desenvolvedor ou pesquisador de segurança, mais capacidade potencialmente reaproveitável ele oferece a um atacante.
Não existe uma separação técnica perfeita entre um agente capaz de diagnosticar vulnerabilidades para defender uma rede e outro capaz de estudar vulnerabilidades para atacá-la.
A disputa real será determinar contexto, intenção e comportamento sem tornar essas ferramentas inúteis para usuários legítimos.
O que muda para empresas e usuários
Para organizações que já utilizam IA generativa, o relatório reforça a necessidade de saber exatamente por onde informações corporativas circulam.
Isso significa mapear APIs, gateways, extensões, agentes, serviços de roteamento e plataformas intermediárias que podem enviar solicitações a fornecedores externos.
Inserir uma credencial, trecho de código proprietário ou documento estratégico em um chatbot aparentemente conhecido não garante que aquela informação permanecerá exclusivamente dentro do ecossistema apresentado pela interface.
Para profissionais de segurança, a mudança é igualmente séria.
Detecções estáticas continuarão necessárias, mas adversários capazes de adaptar ferramentas automaticamente reduzem o tempo disponível entre descoberta, bloqueio e nova tentativa.
Defesas também precisarão incorporar automação, análise comportamental e agentes.
É o começo de um ambiente em que máquinas não apenas participam dos dois lados da disputa, mas começam a reagir umas às outras em velocidade computacional.
O sinal mais importante não está na Rússia nem na China
É tentador interpretar o relatório somente como mais um capítulo da rivalidade geopolítica envolvendo Estados Unidos, Rússia e China.
Isso seria perder a mudança estrutural.
O verdadeiro sinal está na transformação da IA de ferramenta consultiva em **camada operacional**.
Um modelo pode escrever código, outro supervisionar infraestrutura, outro classificar dados coletados, enquanto um agente coordenador decide qual tarefa deve ser executada em seguida. O ser humano continua escolhendo objetivos e autorizando determinadas ações, mas deixa de realizar manualmente cada etapa.
Defensores podem construir exatamente a mesma arquitetura.
A próxima fase da segurança digital, portanto, provavelmente não será simplesmente humanos usando IA contra outros humanos.
Será formada por **sistemas automatizados atacando, detectando, adaptando e respondendo a outros sistemas automatizados**, enquanto pessoas permanecem responsáveis pelas decisões que colocaram essas máquinas em movimento.
O relatório da Anthropic não prova que chegamos a uma ciberguerra autônoma. Também representa a visão de uma empresa diretamente envolvida nos casos e interessada em demonstrar a eficiência de suas próprias salvaguardas.
Mas os episódios descritos mostram que a distância entre “IA que ajuda alguém a atacar” e “IA que executa partes substanciais do ataque” está diminuindo.
Agora, o que merece acompanhamento é a velocidade dessa transição, a capacidade de auditoria independente das alegações feitas pelos laboratórios de IA e o desenvolvimento de defesas que consigam acompanhar agentes operando em escala.
Porque, quando ataque e defesa começam a automatizar a própria adaptação, velocidade deixa de ser apenas vantagem.
Ela passa a ser parte da ameaça.
👉 Dúvida? Então veja mais em: https://pixbugtech.com/linksuteis