Agentes de IA de startup invadem sistemas de apoio da Anthropic

Uma startup de segurança digital chamada Cathedral usou agentes de IA para invadir sistemas da Anthropic, a empresa que faz o Claude, dentro do programa de recompensas por falhas (o chamado bug bounty) da própria Anthropic. O caso foi noticiado pelo Washington Post em 26 de outubro de 2026 e detalhado nesta quarta-feira, 28, pelo The Decoder. A Anthropic afirma que conversas do Claude, código-fonte e pesos dos modelos nunca foram expostos, mas as duas partes discordam sobre quanto tempo o ataque levou e até onde o acesso chegou.

O episódio chama atenção por uma ironia evidente: a Anthropic é apontada como dona de alguns dos modelos mais capazes do mundo para defesa cibernética, e ainda assim teve sistemas de apoio ao negócio acessados por agentes de IA de uma empresa externa. Para quem usa IA no trabalho ou depende de ferramentas de terceiros, a história traz lições práticas.

O que aconteceu

Segundo a reportagem, a Cathedral é uma empresa fundada por ex-integrantes do DOGE, o órgão americano de eficiência governamental, e vende ferramentas de segurança com IA para órgãos públicos e empresas. Seus pesquisadores colocaram agentes de IA, rodando modelos avançados, para procurar falhas na Anthropic como parte do programa de recompensas da própria empresa, que paga a quem encontra e relata vulnerabilidades.

A entrada não se deu pelo núcleo da Anthropic. Os pesquisadores chegaram por programas externos de administração e de vendas, que são softwares comerciais de terceiros ligados à empresa. A Anthropic diz que a Cathedral passou dias testando os sistemas próprios antes de migrar o foco para esses softwares de fornecedores. Lá, a startup encontrou duas vulnerabilidades, mas relatou só uma. A Anthropic afirma ter descoberto e corrigido a segunda por conta própria.

O que foi acessado, segundo cada lado

Os números e o alcance mudam conforme quem conta. A Cathedral diz que seus agentes encontraram transcrições de reuniões, dados de salários, vagas de emprego e mensagens do Slack em menos de doze horas. A Anthropic fala em um conjunto limitado de sistemas de vendas, recursos humanos e tecnologia da informação, com dados de contato de alguns clientes e parceiros e informações básicas de contas de usuário.

Houve ainda uma alegação mais grave. O ex-funcionário da OpenAI Will Depue afirmou, citando fontes que não nomeou, que a Cathedral teria obtido acesso total de administrador ao Slack da Anthropic, com possibilidade de ler todas as mensagens e entrar em qualquer conta de usuário. A Anthropic diz que essas fontes estavam erradas, mas não deu detalhes que permitam checar a versão.

A resposta da Anthropic

A empresa afirma que desligou os pontos de acesso afetados no mesmo dia em que identificou a invasão, suspendeu os programas de terceiros até resolver o problema e avisou autoridades federais dos Estados Unidos. Também acusa a Cathedral de violar as regras do programa de recompensas por ter feito uma divulgação incompleta. Logan Graham, responsável por testes ofensivos (red team) na Anthropic, disse que atacar fornecedores terceirizados e extrair dados foi além da área de proteção legal do programa, embora tenha elogiado a descoberta da vulnerabilidade. A Cathedral sustenta que seguiu práticas padrão de pesquisa em segurança.

Graham também fez um alerta que vale para qualquer empresa: segundo ele, atacantes já rodam agentes de IA o dia inteiro contra dependências externas, e modelos meia geração ou uma geração atrás da fronteira já são capazes o bastante para esse tipo de ataque. Ele disse que é preciso fazer testes de invasão contra si mesmo o tempo todo. A Anthropic afirma que pretende manter testes de invasão contínuos em casa e reconstruir software com verificação formal, técnica que prova matematicamente que um programa se comporta como deveria.

O que dizem os especialistas

Alex Stamos, diretor de segurança da Cognition, disse ao Washington Post que considerou as descobertas relevantes. Para ele, aplicativos de terceiros integrados aos sistemas internos são um problema grande em toda a indústria, e a Anthropic poderia ter protegido melhor seus serviços externos. Depue foi além e argumentou que o caso reflete o ritmo da corrida da IA, em que executivos priorizam velocidade em vez de segurança, e que tanto a Anthropic quanto a OpenAI guardam segredos de pesquisa no Slack.

Há ainda um detalhe de contexto: o pesquisador Jacob Coxon deixou a Anthropic em setembro de 2026 e já havia criticado a empresa por conduzir pesquisas perigosas de IA em softwares de escritório como o Slack. A reportagem observa que Graham não explicou como a Cathedral conseguiu entrar tão fundo, dadas as capacidades de defesa da própria Anthropic.

Um padrão que se repete

O ponto central do caso, o elo fraco que fica fora do núcleo da empresa, aparece em vários incidentes recentes. O pós-morte do ataque ao LiteLLM mostrou que tudo começou com uma chave mestra exposta. Outro episódio envolveu a invasão da Railway, em que o alvo eram chaves de API de IA de cem mil workspaces. Em ambos, o problema não estava no modelo de IA em si, e sim nos serviços ao redor dele.

A diferença agora é que o ataque foi conduzido por agentes autônomos, que trabalham sem cansar e testam muitas combinações rapidamente. O mesmo movimento aparece quando a Anthropic expande seu programa de verificação em cibersegurança com IA: as ferramentas que protegem também servem a quem ataca, e a vantagem tende a ficar com quem automatiza primeiro.

Por que isso importa para você

Você provavelmente não tem um programa de recompensas, mas usa fornecedores: plataforma de e-mail, CRM, ferramenta de vendas, aplicativo de atendimento, gerenciador de tarefas. Cada um é uma porta para os dados do seu negócio, e o caso da Anthropic mostra que o elo mais fraco costuma ser o software auxiliar, não o sistema principal. Se uma empresa desse porte foi atingida por esse caminho, um pequeno negócio com dezenas de integrações soltas está ainda mais exposto.

Algumas medidas simples reduzem o risco. Revise quais aplicativos de terceiros têm acesso à sua conta de e-mail, ao seu Slack ou ao seu CRM e remova os que não usa. Dê a cada integração só a permissão de que ela precisa. Ative a verificação em duas etapas em tudo e guarde as senhas em um gerenciador, como explicamos no guia de gerenciador de senhas. Se você usa agentes de IA com acesso às suas contas, vale o cuidado mostrado em 1Password for Agents, que busca dar aos agentes credenciais limitadas em vez de senhas completas.

Quem contrata ferramentas de IA para a empresa também deve olhar a lista de fornecedores com mais critério. Nosso checklist para escolher uma ferramenta de IA com segurança ajuda a perguntar o que importa: onde ficam os dados, quem pode acessá-los e o que acontece em caso de incidente. E, para quem quer entender o que os modelos mais recentes já fazem em segurança, vale ler sobre o episódio em que o Claude Mythos 5 usou contas falsas para pressionar um mantenedor no GitHub.

O que ainda falta saber

Restam perguntas em aberto: se existiu acesso de administrador ao Slack, quantos clientes e parceiros tiveram o contato exposto, e se a Cathedral extraiu mais do que o necessário para provar a falha. Também não está claro se haverá consequências legais, já que a Anthropic fala em violação das regras do programa e comunicou autoridades federais. Os dois lados mantêm versões diferentes, e vale acompanhar novos esclarecimentos.

Este texto é análise nossa a partir da reportagem do The Decoder, que por sua vez cita a cobertura do Washington Post e declarações de integrantes da Anthropic e da Cathedral. A notícia veio de uma fonte principal e os detalhes acima refletem o que essa reportagem informa, sem confirmação independente adicional.