A startup de cibersegurança Cathedral afirma que agentes de IA implantados pela empresa encontraram uma forma de acessar os sistemas empresariais internos da Anthropic por meio de softwares de terceiros. A Anthropic confirmou que pesquisadores acessaram um conjunto limitado de sistemas de vendas, recursos humanos e TI, incluindo dados de contato de alguns clientes e parceiros e informações básicas de contas.
A Anthropic afirma que a invasão não expôs conversas com o Claude, código-fonte nem pesos dos modelos. A empresa bloqueou os pontos de acesso afetados no dia em que descobriu a invasão, desativou os programas de terceiros enquanto trabalhava para resolver o problema e notificou autoridades federais dos EUA. A empresa não especificou publicamente exatamente quais registros os pesquisadores visualizaram nem quantas pessoas foram afetadas.
A Cathedral vende ferramentas de segurança baseadas em IA para empresas e órgãos governamentais. Em uma versão preliminar de um relatório analisada pelo The Washington Post, seus pesquisadores disseram que os agentes acessaram materiais como transcrições de reuniões, informações salariais, anúncios de vagas e mensagens no Slack em menos de 12 horas. Essas alegações diferem do relato mais restrito da Anthropic sobre os dados acessados; as duas partes discordam sobre a duração e o alcance do incidente.
O que as duas partes contestam
A Cathedral descreve o incidente como algo que levou menos de 12 horas. A Anthropic afirma que o trabalho como um todo durou vários dias: seu integrante da equipe de segurança ofensiva Logan Graham disse que os pesquisadores passaram dias examinando os sistemas da Anthropic antes de recorrer a softwares de terceiros. Segundo a Anthropic, a Cathedral encontrou duas vulnerabilidades nesses programas, mas relatou apenas uma; a empresa diz que encontrou e corrigiu a outra por conta própria.
A Anthropic também afirma que as ações da Cathedral violaram as regras de seu programa de recompensas por bugs, que paga ou reconhece pesquisadores que relatam falhas de segurança. Graham disse que atacar fornecedores terceirizados e extrair dados foi além das proteções de porto seguro do programa. A Cathedral sustenta que seguiu práticas padrão de pesquisa em segurança. Graham elogiou a descoberta das vulnerabilidades, mas não quis dar mais detalhes sobre o que foi acessado, citando a sensibilidade do caso.
As alegações mais abrangentes continuam sendo contestadas. O ex-funcionário da OpenAI Will Depue disse que fontes que considerava confiáveis lhe contaram que a Cathedral teve acesso de administrador completo ao espaço de trabalho da Anthropic no Slack, podendo ler todas as mensagens e entrar como qualquer usuário. Graham disse que as fontes de Depue estavam erradas. A Anthropic não apresentou um relato público que resolva a divergência, portanto essas alegações não devem ser tratadas como fatos confirmados.
Como chegamos até aqui
O ponto de entrada relatado não foi o próprio Claude, mas softwares externos de vendas e administração conectados à Anthropic. Essa distinção importa: a empresa afirma que seus chats de IA e ativos de modelos permaneceram intactos, embora o incidente tenha exposto alguns sistemas e informações empresariais. Alex Stamos, executivo de segurança da empresa de IA Cognition, disse ao The Washington Post que aplicativos integrados de terceiros são um problema significativo em todo o setor e que a Anthropic poderia ter protegido melhor seus serviços externos.
O incidente também mostra como ferramentas de teste de segurança podem ser usadas para encontrar falhas rapidamente. Graham disse que invasores já operam agentes de IA continuamente e atacam dependências externas, e que sistemas muito anteriores aos modelos mais recentes ainda podem ser capazes o suficiente para esse tipo de trabalho. Essas são avaliações dele, não evidências de que todo agente de IA consiga invadir a rede de uma empresa. O relato da Cathedral descreve uma ação específica que encontrou vulnerabilidades em softwares empresariais conectados.
O que acontece agora
A Anthropic afirma que desativou os programas de terceiros afetados até resolver o problema e corrigiu a vulnerabilidade que encontrou por conta própria. A empresa não divulgou um balanço público de todos os registros acessados pela Cathedral, e as versões divergentes sobre a invasão seguem sem solução. O The Decoder informa que a resposta proposta por Graham é realizar testes de invasão internos contínuos — tentativas autorizadas de encontrar falhas — e reconstruir softwares usando verificação formal, um método para checar se o software segue regras especificadas.
Para outras empresas, a lição prática é examinar os serviços externos conectados aos sistemas internos, e não apenas a segurança dos próprios produtos. Mas os detalhes disponíveis não mostram se as descobertas da Cathedral apontam para uma falha compartilhada por determinados fornecedores ou para uma configuração exclusiva da Anthropic. Tampouco comprovam que dados de clientes além das informações de contato tenham sido acessados.
Por que importa
Para empresas que conectam aplicativos de vendas, RH ou outros sistemas empresariais a redes internas, o incidente é um lembrete de que essas conexões podem expor dados mesmo quando um produto central de IA não é invadido. A Anthropic afirma que chats com o Claude e ativos dos modelos não foram acessados, mas confirma que algumas informações empresariais foram. O alcance do acesso continua em disputa, e a Anthropic não detalhou publicamente quais registros foram visualizados.
