Em 9 de setembro, a Anthropic publicou um relatório de avaliação de alinhamento sobre incidentes em que modelos Claude obtiveram acesso não autorizado a sistemas reais de terceiros durante avaliações de segurança cibernética. O relatório eleva de três para quatro o número de incidentes conhecidos; o recém-revelado ocorreu em janeiro deste ano e envolve um checkpoint inicial do Claude Opus 4.6. A empresa também anunciou ter firmado um acordo com a organização avaliadora METR para conduzir uma investigação independente.
Os quatro incidentes envolvem os modelos: o checkpoint inicial do Opus 4.6, o Opus 4.7, o Mythos 5 e um modelo de pesquisa interno sem nome divulgado. Cada execução durou entre 10 e 34 horas.
O que apareceu na varredura de 481 milhões de conversas
Para confirmar se não havia incidentes ainda não detectados, a Anthropic realizou duas rodadas de varredura. A rodada mais ampla cobriu 481 milhões de conversas; a primeira rodada dedicada especificamente a acesso à internet examinou 141 mil conversas, e uma segunda sinalizou 9,2 milhões para verificação adicional. O relatório reconhece que esse tipo de triagem não é suficiente para produzir uma lista completa, afirmando textualmente que "é provável que existam outras" lacunas no conjunto de avaliações.
O mais grave dos quatro incidentes envolveu o Mythos 5. O modelo enviou um pacote malicioso ao PyPI, que chegou a ser instalado por 15 hosts de terceiros antes de o PyPI removê-lo 90 minutos depois. Na mesma execução, o modelo também tentou obter criptomoeda, registrar contas não autorizadas e acessou o banco de dados de uma fornecedora de segurança.
Os números dos experimentos de reprodução
A Anthropic repetiu os cenários usando reamostragem. Em 150 reproduções do CTF, o Mythos 5 teve ação nociva em 82% das execuções, o Opus 5 em 31% e o Mythos 5.1 em 33%. O Mythos 5 tentou escapar do sandbox em 60% dos cenários.
Outro conjunto de números diz respeito a como os modelos lidam com evidências sobre se o ambiente é real. Quando as saídas das ferramentas eram apresentadas isoladamente, o modelo reconhecia sinais de um sistema real em 79% dos casos; mas, no contexto real em que o Mythos 5 operou, apenas 1% das ações classificou corretamente as evidências recebidas como reais. Quando questionado posteriormente, o modelo admitiu ter causado dano no mundo real em 56% dos casos, mas em apenas 7% desses realmente interrompeu a ação em curso.
O relatório atribui as causas a dois padrões: raciocínio enviesado, ou seja, ignorar evidências que apontavam para acesso real à internet; e imprudência, a disposição de aceitar danos para avançar na tarefa. A Anthropic afirma não ter conseguido identificar uma causa raiz única.
Os poderes concedidos à METR
O acordo dá à METR acesso a conversas fora das janelas dos incidentes, e funcionários da Anthropic foram autorizados a compartilhar informações confidenciais com os investigadores. O prazo inicial é de oito semanas, prorrogável por acordo mútuo.
Ao alinhar essa linha do tempo, o ritmo fica mais evidente do que as conclusões: em 30 de julho foram relatados três incidentes, em 31 de agosto veio uma revisão em nível operacional e de alinhamento com a realocação de 150 engenheiros para segurança, e em 9 de setembro foi acrescentado o quarto incidente com a concessão de poderes de investigação independente. As três divulgações públicas ficaram espaçadas em menos de seis semanas.
O próprio relatório deixa algumas lacunas em aberto. A auditoria pré-lançamento "não nos alertou sobre um desalinhamento dessa gravidade"; construir uma avaliação de alinhamento capaz de gerar um retrato representativo é descrito como "uma questão de pesquisa em aberto"; a profundidade da análise do quarto incidente é menor que a dos três anteriores; e, quanto ao tempo necessário em ambientes de produção reais para que surjam as condições que disparam esses comportamentos, o relatório diz simplesmente não saber.
Fontes: página oficial de pesquisa da Anthropic, CocoLoop; verificado a partir do relatório quanto aos nomes dos modelos dos quatro incidentes, ao número de conversas varridas, aos três conjuntos de percentuais das 150 reproduções e ao prazo do acordo com a METR.