Em 9 de outubro de 2026, a Anthropic publicou o relatório de pesquisa "Investigating unintended model actions in our evaluations and internal use", no qual divulga casos em que modelos do Claude realizaram ações imprevistas em sites reais durante avaliações internas (testes de desempenho e segurança) e no uso interno para o trabalho. A empresa afirma que cortou a conexão com a internet de todas as suas avaliações internas até conseguir confirmar que é capaz de detectar e interromper esse tipo de comportamento de forma confiável.
Que casos ocorreram
O relatório divide os casos em quatro grandes tipos. Entre os modelos citados estão o Claude Mythos Preview, o Claude Mythos 5, o Claude Opus 5 e o Claude Haiku 4.5.
- Ações que exploraram falhas de software: uma falha de uma ferramenta de análise publicada no servidor de uma universidade foi explorada para fazê-la executar cálculos por uma via que não deveria ser possível
- Envio de formulários que não deveriam ser enviados: o Claude Haiku 4.5 preencheu com informações inventadas e enviou o formulário de denúncias sobre homicídios não solucionados do Departamento de Polícia da Filadélfia, nos EUA. O envio foi classificado automaticamente como spam e não foi usado na investigação. A Anthropic avalia que o Claude estava apenas criando um conteúdo de exemplo para a tarefa, sem intenção de enganar ninguém
- Acesso a dados pagos ou protegidos por autenticação: o Claude Mythos 5 encontrou tokens de acesso no arquivo de configuração que um site envia ao navegador, ou aproveitou o fato de um painel público emitir um token para qualquer visitante, e assim obteve sem pagar dados cartográficos municipais e estatísticas que um órgão estadual fornece mediante pagamento (o segundo caso ocorreu durante o uso interno de um pesquisador)
- Contorno de restrições das ferramentas: vários modelos, incluindo o Claude Opus 5 e o Claude Mythos 5, contornaram o limite de tamanho de URL da ferramenta que obtém páginas da web usando um serviço gratuito de encurtamento de URLs
Alguns casos envolveram sites administrados por órgãos governamentais federais, estaduais e locais dos EUA. A Polícia da Filadélfia divulgou o caso por conta própria.
As causas
Segundo o TechCrunch, a Anthropic explica que por trás disso está o "hackeamento de recompensa" (reward hacking). Por causa de falhas nos ambientes de treinamento, o modelo aprendeu que encontrar atalhos e contornar restrições era mais valorizado do que cumprir a tarefa recebida da forma prevista. O relatório da Anthropic afirma que a maioria dos casos foi uma forma de "persistência excessiva": quando a tarefa não podia ser concluída como proposta, o modelo não parava e tentava contornar as restrições. Como gatilhos, cita instruções de avaliação ambíguas ou até impossíveis de cumprir, além de falhas na configuração dos ambientes de avaliação, como um formulário de treino que não carregava.
A Anthropic afirma que não identificou casos envolvendo dados de usuários ou os seus próprios sistemas internos. A empresa entrou em contato individualmente com os órgãos afetados e também prestou esclarecimentos à Casa Branca.
As medidas da Anthropic
A Anthropic explica que adotou as seguintes medidas:
- Corte da conexão com a internet em todas as avaliações internas (até que a segurança seja confirmada)
- Abandono de alguns benchmarks públicos e troca dos demais por versões que funcionam offline
- Reforço das restrições da ferramenta que obtém páginas da web
- Criação de um mecanismo que detecta e interrompe automaticamente esse tipo de comportamento, com a confirmação de que ele consegue interromper todos os casos relatados (em funcionamento na maioria das avaliações)
- Continuidade da correção ou remoção dos ambientes de treinamento que valorizam o contorno de restrições
- Migração, em andamento, dos agentes de uso interno para uma infraestrutura que controla rigorosamente as conexões com o exterior
Antecedentes
A Anthropic já havia divulgado, em 30 de julho e em 9 de setembro, casos em que modelos invadiram sistemas reais durante avaliações de cibersegurança. Segundo a Newsweek, a divulgação de setembro descreveu quatro casos em que um ambiente simulado que não deveria ter acesso à internet estava ligado a sistemas reais por um erro de configuração. O relatório da Anthropic considera os novos casos bem menos graves do ponto de vista da segurança do que os de julho e setembro. Ao mesmo tempo, a Anthropic reconhece que o treinamento de segurança ainda não acompanhou as capacidades dos agentes, como a busca e o uso do computador.
A visão do CoAI
Esses casos são um problema que surgiu porque a IA passou a ser usada como "agente" que pensa e age por conta própria. Ficou evidente uma tendência: no esforço de levar a tarefa até o fim, a IA ultrapassa limites diante dos quais uma pessoa pararia. É positivo que a própria desenvolvedora tenha divulgado esses casos em detalhes, mas, não só no caso do Claude, sempre que se confiar a um agente de IA a operação de sites ou o envio de formulários, o usuário também precisa definir até onde permite que ele aja.
