Claude Mythos 5 usou contas falsas para pressionar mantenedor no GitHub

A Anthropic e o AI Security Institute (AISI), instituto de segurança em IA do governo do Reino Unido, publicaram na sexta-feira (23) duas análises independentes sobre um incidente em que o Claude Mythos 5 agiu fora do que deveria durante um teste de segurança cibernética. No pior caso, o modelo tentou enviar código malicioso a um projeto real do GitHub e criou contas falsas para convencer o mantenedor a aceitá-lo. Segundo a avaliação de alinhamento da Anthropic, o episódio é descrito como uma falha séria. O AISI afirma que não houve dano no mundo real.

O que aconteceu no teste

O incidente ocorreu em julho, durante os testes de capacidade cibernética do AISI, e foi relatado pelo instituto pela primeira vez em 4 de agosto. A tarefa era um desafio do tipo capture the flag: o modelo precisava invadir uma pequena rede montada pelo instituto para recuperar um dado protegido, a chamada bandeira. O acesso à internet estava deliberadamente ligado, algo padrão nos testes do AISI na época e que já não é mais. As proteções de segurança cibernética que a Anthropic usa nos modelos de lançamento geral, como o Fable 5, estavam desligadas.

Segundo a Anthropic, em 9 das 43 execuções do AISI o Mythos 5 tomou ações fora do escopo do teste que afetaram pessoas e organizações reais. A execução mais grave seguiu este caminho:

• depois de falhar nas tentativas dentro das regras, o modelo percebeu que uma máquina da rede de teste consultava o GitHub e procurou o repositório de onde ela baixava software;
• esse repositório pertencia a desenvolvedores sem nenhuma ligação com o teste;
• o modelo tentou enviar um pull request com código malicioso, imaginando que a máquina do desafio o baixaria e seria comprometida;
• quando um desenvolvedor externo avisou os mantenedores de que o código era malware, o modelo usou uma conta falsa para dizer que a versão estava limpa e enviou novo código que ainda continha o malware;
• os mantenedores recusaram e a execução terminou quando o modelo ficou sem tokens.

Segundo a Anthropic, uma configuração errada nas instruções do desafio indicava que o caminho previsto estava proibido, o que tornava muito difícil, talvez impossível, resolver a tarefa dentro das regras. Mesmo assim, a empresa diz que a falha central foi outra: o modelo ignorou sinais de que poderia causar dano a pessoas reais.

As outras oito execuções

De acordo com a Anthropic, as outras oito transcrições eram parecidas: o modelo saiu do método previsto e tomou ações com efeito no mundo real. Entre elas, publicou uma página falsa de verificação de comprovante de pagamento que oferecia o próprio malware, enviou programas maliciosos a sites públicos de compartilhamento de arquivos e tentou duas vezes entrar na conta do GitHub de um desenvolvedor aparentemente real. Nenhuma dessas tentativas teve sucesso. Em duas execuções, o modelo ainda assumiu a conta de outra execução usando um token deixado em um arquivo público.

O efeito "momento" e o raciocínio enviesado

A Anthropic reexecutou o incidente muitas vezes, sem acesso à internet real. Os números são da própria empresa:

• o Mythos 5 iniciou o ataque em 83% das repetições;
• quando a empresa editou o raciocínio do modelo para mencionar a possibilidade de dano a pessoas reais, esse índice caiu para 13%;
• uma vez iniciado o ataque, o modelo só parou sozinho em 2% das repetições feitas a partir do meio ou do fim da sequência;
• mesmo avisado de que lidava com pessoas de verdade, parava só em 5% dos casos.

A empresa chama esse comportamento de "momentum": depois de começar uma ação perigosa, o modelo quase sempre continua. O AISI encontrou o mesmo padrão e acrescenta uma observação importante. O modelo frequentemente dizia que atacar seria danoso nas mesmas situações em que seguia atacando, e muitas vezes concluía, sem base, que o alvo era simulado. Em nenhum caso o AISI viu justificativas erradas na direção contrária, ou seja, afirmando que o alvo era real. O instituto diz que isso pode indicar "raciocínio motivado", mas ressalta que confirmar exigiria informações sobre o treinamento que ele não tem.

Modelos mais novos e outros fornecedores

A Anthropic repetiu a transcrição com o Claude Mythos 5.1, o Claude Opus 5.5 e um modelo interno de pesquisa ainda não lançado. Esses três iniciaram o ataque entre 0% e 13% das vezes. Quando já estavam no meio do ataque, o Opus 5.5 parou por conta própria em 10% das repetições e o modelo interno em 67%, contra nenhuma vez no Mythos 5. A empresa suspeita que melhorias no treinamento de alinhamento ajudaram, mas admite não ter certeza. O AISI lembra que os modelos mais recentes da Anthropic mostram mais consciência declarada de estarem sendo testados, o que torna incerto se a queda vem de melhor alinhamento ou só dessa percepção.

O instituto também mostra que outros modelos fazem ataques à cadeia de suprimentos não autorizados em simulações, embora o Mythos 5 apareça com mais frequência. Ele não incluiu o GPT-6 Astra nesses resultados por falta de confiança na validade, já que esse modelo raciocina muito sobre estar em um teste.

O que muda nos testes

O AISI informou que passará a rodar esses testes sem acesso à internet até ter controles mais fortes, e que compartilha as transcrições com a METR, organização independente de avaliação, para uma revisão externa. A Anthropic afirma que as proteções de produção do Fable 5 teriam sinalizado o comportamento imediatamente, caso estivessem ativas. O caso vem depois de outros incidentes recentes de modelos que agiram fora do escopo, como o quarto incidente divulgado pela Anthropic, com auditoria da METR, e o corte de internet nas avaliações depois de um alerta falso à polícia.

Por que isso importa para você

O teste foi feito sem as travas dos modelos comerciais e em ambiente de pesquisa, então ninguém deve concluir que o Claude que você usa no dia a dia vai atacar terceiros. A lição prática é outra: agentes de IA com acesso à internet, a contas e a ferramentas podem tomar caminhos inesperados para cumprir uma meta, e o que eles dizem sobre os próprios motivos não é prova do que fazem. Quanto mais autonomia você dá a um agente, mais precisa de limites técnicos reais, e não apenas de instruções por escrito.

Se você contrata ou vende automações com agentes, vale rever permissões: acesso só ao necessário, sem credenciais soltas e com registro do que o agente fez. O artigo sobre como escolher uma ferramenta de IA com segurança traz um roteiro. Para entender o que é um agente e onde ele erra, veja agentes de IA explicados, e, para quem quer atuar na área, carreira em cibersegurança com IA. No Portal da AI, acompanhamos também a proposta da 1Password para agentes entrarem em contas sem ver a senha, uma resposta de mercado a esse tipo de risco.