Agentes de IA invadiram a Anthropic em horas

O teste que ninguém queria passar

Agentes de IA conseguiram entrar nos sistemas internos da Anthropic, a empresa que constrói alguns dos modelos mais usados hoje para cyberdefesa. Não foi phishing contra um funcionário distraído, não foi zero-day no modelo, foi algo mais banal e mais preocupante: os agentes exploraram softwares terceiros de vendas, administração e TI, encadearam acessos e chegaram a transcrições de reuniões, dados salariais, vagas internas e mensagens no Slack em menos de doze horas, segundo quem executou o teste. Para quem opera segurança, o recado é direto. A superfície de ataque saiu do seu código e foi para as integrações que você nem lembra que conectou.

O caso aconteceu dentro do próprio programa de bug bounty da Anthropic. A startup Cathedral, fundada por ex-funcionários do DOGE e focada em ferramentas de segurança com IA para governo e empresas, usou agentes autônomos rodando modelos avançados para vasculhar o ambiente. A Anthropic confirma parte do incidente, diz que o acesso foi limitado a sistemas de vendas, RH e TI, com contatos de clientes e parceiros e dados básicos de contas, e garante que conversas com o Claude, código-fonte e pesos dos modelos nunca foram expostos. No mesmo dia em que detectou, cortou os pontos de acesso, desativou os programas terceiros e notificou autoridades federais nos Estados Unidos.

O fato sem hype

O que a Cathedral diz: entrada rápida, em horas, por programas externos de admin e vendas, com agentes encontrando caminhos até materiais sensíveis sem intervenção humana constante. O que a Anthropic diz: a tentativa durou vários dias, não horas. Os agentes ficaram dias cutucando os sistemas próprios da empresa sem sucesso e só depois pivotaram para terceiros, onde acharam duas vulnerabilidades, mas reportaram apenas uma. A segunda teria sido encontrada e corrigida pela própria equipe interna. O red teamer Logan Graham acusa a Cathedral de divulgação incompleta e de ter ultrapassado o safe harbor do programa ao mirar fornecedores e puxar dados.

Tem ainda uma camada de disputa pública. O ex-funcionário da OpenAI Will Depue afirmou que a Anthropic estaria minimizando o caso, com fontes dizendo que a Cathedral teve acesso de admin ao Slack, podia ler todas as mensagens e logar como qualquer usuário. Jacob Coxon, que saiu da Anthropic em setembro de 2026, já tinha criticado a empresa por rodar pesquisa sensível em cima de softwares de escritório como o Slack. Graham rebateu, disse que as fontes estão erradas, mas sem entrar em detalhes por sensibilidade, e admitiu o ponto central: a indústria precisa reinventar sua segurança a cada ano. Alex Stamos, CISO da Cognition, que usa modelos da Anthropic, classificou os achados como significativos por causa da integração entre ferramentas.

Como funciona na visão de quem opera

Pensa na arquitetura do ataque. Não é um modelo superinteligente digitando exploits do zero, é um loop de agente com ferramentas: descobrir endpoints, testar OAuth e chaves de API vazadas, ler documentação de integrações, tentar escalação de privilégio em apps de vendas e ITSM, abrir tickets, pesquisar no Slack, baixar anexos, correlacionar nomes com cargos e salários. Cada passo é barato. Uma chamada de modelo para decidir o próximo teste, outra para analisar a resposta HTTP, outra para extrair segredos de um log. A latência não importa quando você pode rodar dezenas de agentes em paralelo, 24 horas por dia, sem fadiga, por alguns dólares por hora.

O vetor mais plausível aqui é a cadeia de suprimentos de SaaS. Sua empresa conecta o Slack a um bot de RH, o bot tem token de admin, o CRM tem integração com um app de prospecção, o helpdesk tem acesso de leitura a e-mails. Nenhum desses é o seu core, mas todos herdam confiança. O agente só precisa de um token antigo, um escopo amplo demais ou uma API de admin mal configurada. Depois que entra, ele não quebra criptografia, ele usa a própria API como um usuário legítimo faria, só que mil vezes mais rápido. É por isso que chaves de API de admin espalhadas em mensagens e transcripts viram ouro: elas transformam leitura limitada em controle total.

Em custo, faz a conta de operador. Antes, um red team humano levava semanas e custava dezenas de milhares de dólares para mapear isso. Agora, uma startup pequena orquestra agentes que testam milhares de combinações de permissões, roles e integrações por uma fração do custo de computação. A inferência técnica é que a Cathedral não usou nada mágico, usou persistência automatizada e contexto longo para não perder o fio entre uma ferramenta e outra. Se a Anthropic, que vive de avaliar risco de modelos, deixou dois pontos assim expostos em terceiros, imagina uma empresa normal com 80 SaaS conectados e sem inventário de tokens.

O que isso muda na prática

Quem ganha com esse episódio é quem vende segurança ofensiva com agentes e quem já trata identidade e terceiros como perímetro real. Quem perde é todo time que ainda acha que proteger o modelo ou o código-fonte basta, enquanto o RH, o financeiro e o comercial rodam com acessos generosos. O ataque não mirou pesos do modelo porque não precisava. Dados de clientes, organograma, salários, conversas internas e fluxos de suporte já são suficientes para extorsão, spear phishing de alta qualidade e engenharia social na próxima rodada.

O ajuste imediato não é comprar mais uma ferramenta de IA, é reduzir o que os agentes adversários conseguem encadear. Revoga tokens antigos de Slack, Salesforce, Zendesk, Okta e similares, aplica least privilege de verdade, separa workspaces sensíveis de pesquisa de workspaces operacionais, limita retenção de mensagens com segredos e ativa alertas para leitura em massa via API, criação de apps OAuth e exportações fora do horário. E roda uma ação prática ainda esta semana: faça um inventário completo de integrações terceiras com escopo de leitura ou admin, quem instalou, quando foi usado pela última vez e qual token ainda está válido. Você vai se surpreender com a quantidade de acessos mortos que continuam vivos.

• Liste todos os apps conectados ao Slack, Google Workspace e CRM e remova escopos de admin sem dono claro.
• Rode rotação forçada de chaves e ative expiração curta para tokens de serviço e bots internos.
• Crie detecção para comportamento de agente: paginação rápida de canais, busca por termos como salary, key, token e export em volume.

A tensão que fica

Aqui está a dúvida real: isso escala para defesa ou só para ataque? Um agente atacante custa centavos e não dorme, enquanto corrigir cadeia de suprimentos exige mapear fornecedor por fornecedor, renegociar contrato, quebrar workflow de vendas que depende daquela integração frágil. A matemática é cruel. O custo de probar caiu 100 vezes, o custo de arrumar continua humano e político. A Cathedral achou duas falhas em dias, mas quantas outras integrações semelhantes existem hoje na Anthropic e em qualquer SaaS médio que nunca passou por um teste assim?

E tem outro ponto incômodo. Programa de bug bounty foi feito para humanos, com regras de escopo, pausa e bom senso. Agente não tem bom senso, tem objetivo. Se ele testa terceiros por conta própria, puxa dados para provar impacto e demora dias batendo na porta, onde termina pesquisa legítima e começa invasão? A Anthropic fala em violação de regras, a Cathedral fala em prática padrão. Enquanto essa linha não fica clara em contrato, com limites de taxa, dados sintéticos e ambientes isolados, todo teste com agentes vai gerar esse mesmo bate-boca sobre duração, extensão e divulgação. Resolveu uma vulnerabilidade, mas moveu o gargalo para governança.

Conclusão

A empresa referência em defesa com IA foi invadida por IAs através do elo mais fraco, os softwares terceiros que ninguém audita direito. Isso não prova que os modelos são inseguros, prova que a segurança corporativa ainda é decidida nas integrações esquecidas. Quantos tokens de admin da sua empresa estão agora mesmo legíveis em algum canal que um agente levaria minutos para encontrar?