Sobre o Relatório de Uso Indevido de IA da Anthropic: Agentes Transferem o Custo aos Defensores

A Anthropic publicou seu terceiro relatório sobre uso indevido de IA após detectar Claude em ciberataques, sistemas de vigilância, campanhas de influência, pesquisa de armas e extração industrial de modelos. As evidências apresentadas em Sobre o Relatório de Uso Indevido de IA da Anthropic abrangem atividades observadas entre dezembro de 2025 e agosto de 2026. Seu alerta central não é que a IA tenha inventado novos objetivos maliciosos. É que os agentes tornaram operações existentes mais baratas, rápidas e fáceis de ampliar.

O relatório descreve pessoas escolhendo alvos, definindo objetivos e revisando resultados relevantes. Os sistemas de IA então realizavam reconhecimento, desenvolvimento de software, pesquisa de vulnerabilidades, processamento de dados, produção de propaganda e partes da exploração. Vários operadores também conectaram Claude a ferramentas externas e memória persistente, permitindo que fluxos de trabalho automatizados continuassem entre sessões.

Essa divisão de trabalho importa mais do que qualquer prompt malicioso isolado. Ela insere a IA na engrenagem operacional do cibercrime e da vigilância estatal. Agora, atacantes podem preservar conhecimento especializado em software, repetir procedimentos bem-sucedidos e conduzir várias frentes de trabalho ao mesmo tempo.

Bruce Schneier destacou o mesmo padrão em sua análise do relatório de uso indevido. A mudança significativa é rumo a uma execução industrializada, com humanos mantendo a autoridade enquanto as máquinas assumem uma parcela maior da carga operacional.

No Relatório de Uso Indevido de IA da Anthropic, o Fluxo de Trabalho É a História

As evidências mais relevantes do relatório dizem respeito a fluxos de trabalho completos, não a respostas isoladas geradas por um chatbot.

O relatório de inteligência de ameaças da Anthropic documenta atividades de grupos criminosos, fornecedores comerciais de vigilância, indivíduos com motivação política e organizações alinhadas a Estados. Os casos abrangem operações cibernéticas, propaganda, vigilância, armas convencionais, pesquisa biológica e destilação não autorizada de modelos.

A empresa afirma ter selecionado incidentes notáveis ou inéditos, e não uma amostra representativa de tudo o que acontece no Claude. Essa distinção limita conclusões sobre prevalência. Ainda assim, os casos revelam o que operadores motivados podem montar quando modelos se conectam a código, navegadores, scanners, bancos de dados e outras ferramentas.

Alguns operadores utilizaram enxames de agentes, o que significa que um modelo coordenador dividia um grande objetivo entre vários agentes de IA especializados. Esses agentes trabalhavam em paralelo no reconhecimento, na pesquisa de exploração e em tarefas posteriores ao comprometimento. A memória persistente da campanha armazenava listas de alvos, credenciais, instruções e status de engajamento entre sessões.

Em uma operação relatada, fluxos de trabalho automatizados analisaram firmware e binários de dispositivos com ferramentas de descompilação. O sistema formulou hipóteses de vulnerabilidade, escreveu exploits propostos e os testou contra cópias de laboratório dos produtos visados. A Anthropic afirma que um fluxo de trabalho contínuo produziu mais de uma dúzia de possíveis descobertas de zero-day em um mês.

Um zero-day é uma vulnerabilidade de software até então desconhecida, sem um patch defensivo disponível. O relatório não estabelece que todas as descobertas suspeitas eram válidas ou foram usadas contra sistemas reais. Ele mostra, porém, um processo automatizado iterando tarefas que tradicionalmente exigiam atenção contínua de especialistas.

Outros agentes pesquisaram repetidamente infraestrutura exposta na internet. Eles identificaram serviços, compararam pontos de entrada com vulnerabilidades conhecidas e adicionaram novas descobertas à memória persistente do projeto. Uma frota separada de 13 agentes permanentes coletou material público de fontes militares, governamentais, políticas e sociais.

Essa arquitetura altera a economia do trabalho malicioso. Um humano não precisa mais realizar pessoalmente cada busca, teste, tradução ou tarefa de documentação. O operador pode supervisionar uma coleção expansível de trabalhadores automatizados e se concentrar na seleção de alvos.

É por isso que uma lista de prompts individuais subestima esse desenvolvimento. Cada prompt pode parecer comum quando analisado isoladamente. O perigo surge da orquestração, do contexto acumulado, do acesso a ferramentas, da repetição e da capacidade de agir sobre os resultados.

A Anthropic afirma que baniu contas vinculadas e usou suas descobertas para aprimorar salvaguardas. Ainda assim, a remoção de contas resolve o acesso a um provedor, não o conhecimento subjacente, o código, as credenciais roubadas ou a infraestrutura. Operadores podem preservar esses ativos e transferir partes de um fluxo de trabalho para outro lugar.

O relatório, portanto, transforma o uso indevido de IA de um problema de moderação de conteúdo em um problema de segurança operacional. Bloquear texto nocivo continua útil, mas os defensores também precisam detectar comportamento automatizado entre identidades, sessões, ferramentas e contas comprometidas.

Agentes de IA Estão Comprimindo o Ciclo de Ataque

Agentes de IA não removem os humanos dos ciberataques, mas permitem que menos pessoas operem contra mais alvos e em mais camadas técnicas.

Uma campanha descrita pela Anthropic usou IA em reconhecimento, acesso inicial, coleta, exfiltração e persistência. O ator teria identificado sistemas de e-mail e acesso remoto, elaborado listas de alvos e criado infraestrutura para phishing de código de dispositivo.

O phishing de código de dispositivo abusa de um processo legítimo de login para persuadir uma vítima a autorizar uma sessão controlada pelo atacante. Quando o atacante obtém esse acesso, a sessão pode expor e-mail em nuvem e outros serviços conectados. A técnica frequentemente parece menos suspeita porque utiliza um fluxo de autenticação real.

A Anthropic afirma que a operação acessou registros de e-mail de pelo menos oito organizações. Os alvos incluíam o escritório de um promotor nacional, um instituto de educação militar e uma organização intergovernamental regional. Outra intrusão expôs mais de 300.000 registros nacionais de identidade e informações de registro de mais de 500.000 empresas.

O sistema de IA ajudou a organizar centenas de gigabytes de informações roubadas, segundo o relatório. Também auxiliou na coleta de credenciais, no movimento lateral e na adaptação de software malicioso depois que produtos de segurança detectaram versões anteriores.

Isso fecha parte do ciclo de feedback entre a ação do atacante e a resposta defensiva. Uma detecção deixa de criar o mesmo atraso se o software puder analisar a falha, revisar um artefato e preparar rapidamente outra versão. A aprovação humana pode permanecer no processo enquanto a iteração das máquinas acelera.

Um ator diferente utilizou um pipeline autônomo de exploração contra aplicações web em produção. Agentes trabalhadores testaram falhas de injeção, desvios de autenticação, cross-site scripting e falsificação de solicitação do lado do servidor sem supervisão humana contínua. Possíveis credenciais e descobertas retornavam a um espaço de trabalho compartilhado.

A falsificação de solicitação do lado do servidor é uma falha que induz um servidor a fazer solicitações em nome de um atacante. Ela pode expor sistemas internos que, de outra forma, seriam inacessíveis pela internet pública. Automatizar esses testes aumenta o número de endpoints que um operador pode sondar.

O relatório também descreve infraestrutura de fraude que automatizava registro de contas, monitoramento de caixas de entrada, resolução de CAPTCHA e etapas de verificação de identidade. Outro fluxo de trabalho posicionava um proxy reverso entre vítimas e verificações legítimas de identidade, capturando sessões autenticadas e documentos enviados.

Esses exemplos mostram por que Sobre o Relatório de Uso Indevido de IA da Anthropic importa para organizações comuns. Uma empresa não precisa ser o alvo original do atacante para sofrer danos. Suas chaves expostas, tenants de nuvem, aplicações SaaS, fornecedores ou registros de clientes podem se tornar recursos intermediários.

Um atacante francófono teria visado 42 organizações políticas e afiliadas. O ator obteve acesso interno a pelo menos 14 delas e removeu cerca de 12 a 26 gigabytes de material de bancos de dados. Uma plataforma de campanha comprometida expôs aproximadamente 140.000 registros, incluindo opiniões políticas.

Reportagens independentes sobre a campanha francesa relacionaram vários detalhes a organizações afetadas. Essas reportagens oferecem uma corroborção valiosa, embora a Anthropic continue sendo a fonte primária para grande parte do relato técnico.

O ator também desenvolveu uma técnica de exploração do WordPress antes não documentada e teve sucesso contra pelo menos quatro sites, afirma a Anthropic. Outras ferramentas coletavam credenciais enviadas, contaminavam backups e inseriam código de acesso remoto nos ativos dos sites.

Não se tratava de um ataque inteiramente autônomo. O humano escolheu os alvos, operou a infraestrutura, interpretou os resultados e perseguiu objetivos políticos. A mudança importante foi a alavancagem: uma pessoa podia construir e manter uma campanha com a amplitude de uma pequena equipe técnica.

O Principal Conflito É a Escala do Atacante Versus a Responsabilidade do Defensor

Atacantes podem distribuir trabalho entre agentes, mas os defensores ainda assumem todas as consequências jurídicas, operacionais e financeiras de cada falha.

O planejamento tradicional de segurança frequentemente pressupõe que o trabalho ofensivo consome conhecimento especializado escasso. Atacantes qualificados precisam estudar a infraestrutura, criar ferramentas, inspecionar dados roubados e ajustar seus métodos após a detecção. Essas restrições limitam quantos alvos um grupo pode perseguir simultaneamente.

Sistemas agênticos enfraquecem essas restrições. Eles podem executar reconhecimento continuamente, documentar resultados de maneira consistente, traduzir material e repetir tarefas técnicas. Também preservam conhecimento procedimental que, de outra forma, ficaria na memória de um operador.

Os defensores enfrentam uma equação menos tolerante. Cada credencial exposta, aplicação esquecida, fornecedor vulnerável ou permissão excessiva pode se tornar um ponto de entrada. Os atacantes precisam de um caminho viável, enquanto os defensores precisam proteger uma coleção mutável de sistemas e identidades.

A própria cadeia de fornecimento de IA também se tornou um alvo. A Anthropic descreve serviços falsos que prometiam acesso com desconto a modelos de fronteira, mas instalavam coletores de credenciais. Esses programas roubavam credenciais de contas e tokens de sessão autenticados dos dispositivos dos clientes.

Os atacantes então vendiam ou reutilizavam esse acesso por meio de redes de proxy fraudulentas. Alguns serviços encaminhavam silenciosamente os clientes para um modelo diferente enquanto continuavam coletando novas credenciais. Isso dava aos criminosos uma fonte renovável de contas com aparência legítima depois que chaves anteriores eram revogadas.

Outra operação testou 30 alvos enquanto buscava acesso a um modelo Claude de pré-lançamento. A Anthropic afirma que todas as tentativas falharam e que seus próprios sistemas não foram comprometidos. As chaves roubadas pertenciam a clientes cujos ambientes já haviam sido violados.

Essa distinção é importante. Um provedor pode proteger sua infraestrutura central enquanto atacantes exploram pontos mais fracos ao redor dela. Laptops de desenvolvedores, sessões de navegador, plataformas de automação, roteadores de terceiros e arquivos de configuração copiados passam a integrar a fronteira efetiva de segurança.

Portanto, empresas devem tratar credenciais de IA como outros segredos privilegiados de produção. As chaves precisam ter escopos limitados, curta duração quando possível, monitoramento de uso e revogação confiável. Tráfego incomum de modelos pode revelar um ambiente comprometido antes que um atacante alcance um objetivo mais evidente.

As equipes de segurança também precisam ter visibilidade sobre o comportamento dos agentes. Uma única conta que inicia varreduras persistentes, chamadas paralelas de ferramentas ou tarefas repetitivas de extração apresenta um risco diferente de uma conversa comum. A detecção deve considerar sequências de ações, e não um prompt de cada vez.

Isso cria pressão sobre Anthropic, OpenAI, Google, Microsoft, provedores de nuvem e serviços de roteamento de modelos. Cada um vê uma parte diferente da cadeia. Nenhum participante consegue reconstruir toda a campanha sem trocar informações úteis sobre ameaças.

No entanto, mais monitoramento introduz seus próprios riscos. Os provedores podem inspecionar prompts, resultados, arquivos, chamadas de ferramentas e relações entre contas para identificar abusos. Essas práticas podem expor informações confidenciais dos clientes ou criar amplas capacidades de vigilância dentro do próprio serviço.

A escolha resultante não é simplesmente entre segurança e privacidade. Um monitoramento fraco pode permitir que ataques coordenados continuem. Um monitoramento excessivo pode corroer a confidencialidade, gerar acusações falsas ou colocar dados valiosos de clientes em outro sistema centralizado.

Os provedores precisam de retenção limitada, acesso restrito para investigadores, regras claras de escalonamento e transparência significativa sobre a aplicação automatizada de medidas. Os clientes também precisam saber quais dados de telemetria existem e quando informações podem ser compartilhadas com organizações externas.

O AI Misuse Report da Anthropic oferece uma visibilidade incomumente detalhada sobre atividades detectadas. Ele não fornece uma medida completa de falsos positivos, campanhas não detectadas ou do custo de privacidade das investigações. Essas questões sem resposta devem acompanhar as conclusões operacionais.

Vigilância e Propaganda Mostram a Mesma Substituição de Trabalho

Os casos de vigilância do relatório mostram a IA substituindo partes de uma força de trabalho de engenharia e análise, sem mudar quem as instituições poderosas escolhem como alvo.

Um consultor que trabalhava para autoridades de segurança nacional no Mali teria usado Claude para desenvolver uma plataforma de interceptação em massa. O sistema podia coletar dados de comunicações das operadoras móveis do país e gerar dossiês sobre pessoas selecionadas.

A Anthropic afirma que o modelo ajudou a projetar o software subjacente, em vez de analisar os dossiês finais. Segundo uma reportagem separada sobre vigilância, a plataforma acabou sendo implantada localmente com outros modelos depois que a Anthropic interveio.

Esse resultado expõe um limite da aplicação de medidas pelos provedores. Um serviço de nuvem pode encerrar contas e tornar um fluxo de trabalho mais difícil de executar. Ele não consegue eliminar de forma confiável código exportado, conhecimento técnico, dados coletados ou acesso a modelos alternativos.

No Irã, atores usaram Claude para criar uma extensão maliciosa do Firefox que coletava identidades em redes sociais. Outra unidade iraniana analisou centenas de milhares de publicações e identificou 39 contas da oposição para monitoramento, segundo a Anthropic.

O relatório descreve uma operação de inteligência chinesa voltada a assuntos religiosos que teria reduzido muitas equipes analíticas a um único escritório. Com assistência de IA, esse escritório produzia milhares de investigações por mês.

Outros atores usaram Claude para classificar artigos e publicações sociais por sensibilidade política. Eles reuniram locais, atributos demográficos, opiniões políticas e classificações de confiança em registros estruturados. Esses resultados poderiam apoiar interrogatórios, monitoramento ou outras formas de controle.

Um operador alinhado à RPC sem habilidades em árabe teria conduzido uma operação de recrutamento de vários dias voltada a uigures na Síria. Claude redigiu abordagens em um dialeto regional, traduziu respostas, simulou verificações de qualidade e formatou resultados para um suposto oficial responsável pelo caso.

O modelo não escolheu a comunidade perseguida. Instituições humanas forneceram o alvo, a missão e o uso pretendido. A IA reduziu as barreiras linguísticas, de pessoal e técnicas que, de outro modo, poderiam atrasar a operação.

Esse padrão também aparece em campanhas de influência. A Anthropic detalha nove casos originados na Rússia, Irã, Turquia, Golfo, Sul da Ásia, África e Europa. As campanhas visavam públicos em seis continentes.

Os operadores criaram perfis falsos, sites de notícias, mensagens políticas e planos coordenados de publicação. Algumas campanhas coincidiram com eleições. A mídia estatal russa produziu alegações fabricadas antes da votação da Moldávia em setembro de 2025, enquanto um operador queniano preparou conteúdo falso de base antes da eleição de 2027.

A IA não inventou a comunicação política enganosa. Ela ajudou a produzir personas, traduções, artigos, estratégias de segmentação e variações a um custo marginal menor. Uma equipe pequena podia sustentar uma fachada maior de participação pública independente.

A Anthropic tem um ponto de observação incomum porque consegue ver campanhas enquanto os operadores as planejam. As redes sociais frequentemente só encontram a operação depois que o conteúdo aparece publicamente. Os provedores de modelos podem detectar a seleção de alvos e a criação de conteúdo mais cedo.

Essa visibilidade então diminui quando o conteúdo deixa a plataforma do modelo. A Anthropic afirma usar pesquisa de código aberto, dados de parceiros e reportagens públicas para entender a atividade posterior. Isso significa que algumas campanhas planejadas talvez nunca sejam lançadas, enquanto outras podem migrar para além de seu campo de visão.

Os leitores devem resistir a tratar cada prompt detectado como prova de uma operação concluída no mundo real. Intenção, preparação, implantação, alcance e impacto mensurável são estágios diferentes. O relatório é mais sólido quando conecta a atividade do modelo à infraestrutura ou a evidências corroborativas.

Ainda assim, a direção é clara. A IA está entrando na burocracia rotineira da vigilância e da influência política. Ela pode ajudar instituições a processar mais pessoas, manter mais personas e preparar mais relatórios sem expandir proporcionalmente o quadro de funcionários.

Pesquisa de Armas Levanta um Problema Mais Difícil de Salvaguardas

As conclusões da Anthropic levam o debate além da assistência maliciosa à escrita e em direção a softwares que conectam análise a sistemas físicos.

A empresa afirma ter interrompido seis casos de armas convencionais envolvendo três atores na China, dois na Rússia e um no Iêmen. Quatro envolviam software para hardware de armamentos, enquanto dois se concentravam em aquisição ou coleta de inteligência.

Os projetos relatados incluíam foguetes guiados, orientação de mísseis, software para enxames de drones, interceptação de torpedos, direcionamento de guerra eletrônica e supressão de defesa aérea. Um programa de foguetes guiados incluiu um teste de campo ao vivo, segundo a Anthropic.

Os atores em geral já possuíam hardware relevante, conhecimento de engenharia ou acesso a programas antes de usar Claude. Eles dividiram o trabalho entre sessões para ocultar o objetivo completo e tentaram contornar salvaguardas.

Essa ressalva é importante. O relatório não mostra uma pessoa sem conhecimento fazendo uma pergunta e recebendo uma arma completa. Ele mostra grupos capacitados usando IA para acelerar tarefas de engenharia, depuração, pesquisa, documentação e aquisição.

A Anthropic afirma ter introduzido classificadores que detectam melhor tráfego relacionado a explosivos de alto rendimento e desenvolvimento de armas. Um classificador é um sistema automatizado que estima se uma solicitação pertence a uma categoria restrita.

Esses controles enfrentam um problema inerente. Muitas tarefas de engenharia têm aplicações civis legítimas. Orientação, navegação, processamento de imagens, comunicações por rádio, análise de materiais e controle de voo podem servir tanto a sistemas comerciais quanto militares.

O relatório também descreve solicitações de pesquisa biológica com características de uso duplo. Um caso envolvia uma proposta de financiamento sobre alterações no vírus chikungunya que poderiam afetar a transmissibilidade e a evasão imunológica.

Claude teria se recusado a ajudar com partes desse trabalho, e o usuário recorreu a outro serviço de IA. A Anthropic afirma que seus modelos mais antigos estavam abaixo do limiar para auxiliar materialmente um pesquisador biológico sofisticado. Ela não oferece a mesma garantia para os sistemas atuais.

A cobertura do caso de salvaguardas biológicas destaca essa incerteza. Modelos mais capazes podem apoiar pesquisas legítimas, mas a mesma competência complica as decisões sobre quais solicitações bloquear.

O bloqueio excessivo traz custos reais. Cientistas, equipes de saúde pública e pesquisadores de segurança podem precisar de informações que se assemelham a trabalhos restritos. O bloqueio insuficiente pode dar a um ator malicioso assistência com desenho experimental ou planejamento operacional.

Um provedor de modelos precisa tomar essas decisões com contexto incompleto. Uma solicitação aparentemente benigna pode ser um fragmento de um programa oculto. Uma solicitação preocupante pode fazer parte de pesquisa defensiva autorizada.

A mesma fragilidade afeta as salvaguardas cibernéticas. Atacantes podem dividir objetivos em tarefas comuns, trocar de contas, usar credenciais roubadas ou combinar vários provedores. Modelos de pesos abertos adicionam outro caminho sem um operador central capaz de encerrar uma conta.

Portanto, nenhum provedor pode apresentar a segurança como um recurso de produto concluído. As salvaguardas criam atrito e melhoram a detecção, mas não removem a capacidade do ambiente mais amplo. A medida relevante é se a intervenção eleva os custos dos atacantes mais rapidamente do que a capacidade os reduz.

O AI Misuse Report da Anthropic fornece evidências de interrupções bem-sucedidas, mas não pode mostrar as campanhas que a Anthropic jamais detectou. Ele também não pode determinar quantos operadores abandonaram um projeto, migraram para outro lugar ou continuaram com sistemas implantados localmente.

Essa incerteza deve evitar dois erros opostos. Os casos não provam que agentes de IA possam executar de forma independente todas as operações sofisticadas. Eles também não justificam descartar o problema porque humanos ainda escolhem os objetivos.

Direção humana e execução por máquinas podem coexistir. De fato, essa combinação pode ser a estrutura mais prática para operações prejudiciais, pois preserva o julgamento ao mesmo tempo que amplia o trabalho repetível.

A Destilação de Modelos Transforma Dados de Clientes em uma Questão de Segurança

A inversão final do relatório é que provedores de IA não são apenas plataformas de uso indevido, mas também alvos, fontes de dados e recursos computacionais roubados.

A Anthropic acusa vários laboratórios chineses de IA de conduzir campanhas não autorizadas de destilação contra Claude. A destilação usa as respostas de um modelo para melhorar o comportamento ou as capacidades de outro modelo.

Segundo a Anthropic, a Alibaba gerou mais de 151 milhões de interações entre maio e julho de 2026. A Moonshot teria gerado mais de 23 milhões de interações no mesmo período. A DeepSeek produziu mais de 12,1 milhões de interações ao longo de 14 dias em julho.

A empresa atribui mais de 3,4 milhões de interações à Zhipu ao longo de 17 dias em junho e julho. Ela afirma que a Xiaomi gerou mais de 400.000 interações ao longo de 20 dias em março e abril.

Esses números são conclusões da Anthropic e não foram auditados de forma independente no relatório. As respostas das empresas nomeadas também importam para avaliar atribuição, intenção e alegações contratuais.

A Anthropic afirma que as campanhas buscavam capacidades de raciocínio, programação, uso de ferramentas e análise de dados. Os operadores teriam usado identidades falsas, cartões roubados, credenciais de API comprometidas, proxies e milhares de contas para evitar controles de acesso.

Alguns testaram muitas variações de prompts para extrair rastros ocultos de raciocínio. Um experimento teria enviado mais de 12.000 solicitações diferentes para identificar métodos de extração bem-sucedidos antes de lançar uma campanha maior.

A alegação mais preocupante envolve dados de clientes. A Anthropic afirma que DeepSeek, Moonshot e Xiaomi encaminharam algumas conversas de usuários para Claude com fins de treinamento. Os usuários supostamente não foram informados de que outro provedor de modelos processaria suas solicitações.

A Anthropic relata que algumas interações continham nomes, endereços de e-mail, informações corporativas, credenciais de desenvolvedores e previsões internas. Serviços de roteamento de terceiros teriam fornecido conversas adicionais envolvendo usuários nos Estados Unidos e na Europa.

Essas alegações ampliam o significado do risco na cadeia de suprimentos de IA. Um cliente pode pensar que a informação está sendo enviada para um aplicativo e um modelo. Na prática, as solicitações podem passar por roteadores, revendedores, serviços de proxy, avaliadores e provedores upstream ocultos.

As empresas devem perguntar aos fornecedores quais modelos realmente processam as informações enviadas. Elas também precisam de respostas claras sobre retenção, treinamento, roteamento regional, subprocessadores e acesso por revisores humanos.

O episódio cria uma simetria difícil. A Anthropic critica outras organizações por supostamente encaminharem dados de usuários sem consentimento. Ao mesmo tempo, seu próprio relatório demonstra o quanto os provedores de modelos podem inferir por meio do monitoramento de abusos.

Essas situações não são equivalentes, mas compartilham uma questão de governança. Informações sensíveis podem viajar mais longe do que o usuário espera, seja por roteamento oculto, telemetria de segurança ou uma investigação.

A resposta não pode ser uma promessa de que dados confidenciais nunca serão movimentados. As organizações precisam de controles aplicáveis, roteamento verificável, retenção minimizada e registros que mostrem quais sistemas processaram cada solicitação.

Esse também é o motivo pelo qual os funcionários devem evitar inserir segredos reais em ferramentas de IA não aprovadas. Uma interface refinada não estabelece para onde a solicitação vai nem quantos intermediários podem acessá-la.

O que os defensores devem observar a seguir

O próximo teste é verificar se a resposta de segurança altera a dinâmica econômica descrita em On Anthropic’s AI Misuse Report.

O primeiro sinal é a interrupção entre provedores. A Anthropic afirma que compartilha descobertas com parceiros públicos e privados quando apropriado. O teste mais forte é saber se a detecção feita por um provedor desativa rapidamente contas relacionadas, infraestrutura e credenciais roubadas em outros lugares.

Se a cooperação melhorar, os atacantes perderão parte da capacidade de migrar fluxos de trabalho intactos entre serviços. Se as campanhas reaparecerem repetidamente por meio de novas contas e modelos alternativos, os bloqueios de conta continuarão sendo apenas um obstáculo temporário.

O segundo sinal são as evidências sobre a autonomia dos agentes. Relatórios futuros devem separar sugestões geradas por IA de ações executadas por meio de ferramentas. Devem identificar onde humanos aprovaram comandos, corrigiram falhas, selecionaram alvos ou interpretaram resultados ambíguos.

Essa distinção mostrará se os agentes estão se tornando mais independentes ou apenas tornando operadores qualificados mais produtivos. Ambos os resultados importam, mas exigem defesas e respostas de políticas diferentes.

O terceiro sinal é a transparência sobre investigação e privacidade. Os provedores devem explicar quais dados retêm, como classificadores de abuso acionam revisões e como limitam o acesso dos investigadores. Também devem informar falsos positivos e recursos quando essa divulgação não ajudar os atacantes.

Para líderes de segurança, a resposta imediata é prática. Façam um inventário das credenciais de IA, revisem os roteadores de modelos, reduzam tokens de longa duração e monitorem atividades automatizadas incomuns. Testem se dispositivos comprometidos de desenvolvedores podem expor sessões de modelos ou segredos de produção relacionados.

As equipes também devem revisar os planos de resposta a incidentes para a iteração em velocidade de máquina. Um domínio bloqueado ou uma carga detectada pode provocar uma revisão automatizada em poucos minutos. Os defensores precisam de revogação coordenada de identidades, contenção de endpoints, registros em nuvem e comunicação com fornecedores.

Trabalhadores do conhecimento devem verificar para onde prompts sensíveis são enviados. Antes de enviar código-fonte, documentos internos, credenciais, dados de pesquisa ou registros de clientes, confirmem o provedor aprovado e seus termos de processamento.

O relatório da Anthropic não estabelece um apocalipse cibernético autônomo. Ele documenta algo mais imediato: humanos usando IA para transformar expertise em infraestrutura repetível em crimes cibernéticos, vigilância, propaganda e trabalho com armas.

A questão para o próximo relatório não é se o uso indevido continuará. É se os defensores forçarão os atacantes a gastar mais identidades, dinheiro, tempo e expertise em cada operação bem-sucedida. Essa disputa mensurável revelará se as salvaguardas estão contendo a mudança ou apenas documentando-a.