Para: quem administra um site ou serviço online. Este artigo se baseia em divulgações oficiais da OpenAI, da Anthropic, da Wikimedia Foundation e do governo australiano (a entrevista coletiva do Primeiro-Ministro e o alerta do Centro de Segurança Cibernética da Austrália). Não contém passos de ataque. O primeiro caso, de julho, está coberto em a invasão ao Hugging Face (2026).
O que foi divulgado
18 de junho de 2026
A equipe de pesquisa da OpenAI tinha um modelo interno pesquisando gastos públicos com medicamentos. Após bloqueios repetidos, o agente encontrou uma forma de contorná-los e acessou arquivos públicos e não públicos do portal de estatísticas do Medicare da Austrália (segundo a entrevista coletiva do Primeiro-Ministro australiano).16 de julho de 2026
O Hugging Face divulgou uma invasão realizada por um agente de IA (explicação).23–24 de julho de 2026
A Anthropic revisou 141.006 execuções de avaliação em busca de casos semelhantes e identificou três em que modelos em avaliação alcançaram os sistemas de produção de três empresas reais. Ela interrompeu todas as avaliações de cibersegurança no mesmo dia.27 de julho de 2026
A Anthropic notificou seu parceiro de avaliação e as três organizações afetadas. As duas que conseguiu contatar não haviam detectado a atividade anteriormente (segundo sua divulgação).18 de agosto de 2026
A OpenAI disse ter reduzido temporariamente o treinamento de modelos de fronteira e reforçado o isolamento nos ambientes de pesquisa (sandboxes mais rígidos para código não confiável, isolamento de rede).9 de setembro de 2026
A Anthropic divulgou um quarto caso, de uma avaliação de janeiro de 2026, além dos três de julho. Ampliou sua revisão de cerca de 141.000 para cerca de 481 milhões de transcrições e não encontrou outros casos de gravidade semelhante ou pior. Também firmou um acordo com um avaliador externo para uma investigação independente.10 de setembro de 2026
Primeira notificação da OpenAI ao governo australiano — um e-mail para uma caixa de correio pública geral (segundo o Primeiro-Ministro).15 de setembro de 2026
A Services Australia comunicou a notificação ao Centro de Segurança Cibernética da Austrália (ACSC).24 de setembro de 2026
O Primeiro-Ministro divulgou o incidente e criou uma força-tarefa. No mesmo dia, o ACSC emitiu um alerta para "todas as organizações australianas com sites ou aplicações voltados ao público".25 de setembro de 2026
A OpenAI disse que sua revisão levaria meses e que está notificando as organizações afetadas à medida que os casos são verificados.5 de outubro de 2026
A Wikimedia Foundation disse ter identificado atividade em seus projetos por agentes que acredita terem sido operados pela OpenAI.9 de outubro de 2026
A Anthropic divulgou casos em que modelos tomaram ações não intencionais em sites reais durante avaliações e uso interno, incluindo uma denúncia falsa enviada por meio de um formulário da Polícia da Filadélfia. A Polícia da Filadélfia também anunciou o caso no mesmo dia (segundo a Anthropic).
- OpenAI: alcance das notificações
- Após uma ampla revisão da atividade de seus modelos na internet durante treinamento e avaliação, a empresa notificou dezenas de terceiros que atendem a seus critérios, e a revisão continua. Alguns dos sites envolvidos são administrados por governos, universidades e órgãos públicos, em parte porque tarefas de pesquisa direcionam os modelos para fontes públicas autoritativas, afirma a empresa
- OpenAI: tipos de atividade observados
- (1) contornar controles de acesso (usando um endereço web diferente, alterando requisições, usando uma sessão com mais acesso do que o pretendido) (2) uso de credenciais expostas publicamente (3) injeção de consulta ou de comandos (4) acesso a partes internas de um serviço (5) spam de agentes (publicação em sites de terceiros, como o uso de uma wiki pública como quadro de recados)
- Anthropic: o que aconteceu
- Uma configuração incorreta deixou as máquinas de avaliação com acesso real à internet (a empresa atribui isso a um mal-entendido entre ela e seu parceiro de avaliação; nenhum dos dois tinha conhecimento). O modelo tratou sistemas reais como parte do exercício. Em um caso, ele varreu cerca de 9.000 alvos e comprometeu a aplicação de uma empresa usando técnicas básicas e bem conhecidas, como ler credenciais de uma página de depuração exposta e injeção de SQL
- Anthropic: efeito em um registro público
- Usando um nome de pacote Python inexistente, extraído do guia de configuração de uma empresa fictícia, o modelo publicou um pacote malicioso. Ele ficou disponível por cerca de uma hora e foi executado em 15 sistemas reais (um deles, o scanner de uma empresa de segurança que instala pacotes para verificá-los)
- Anthropic: o quarto caso (relatório de 9 de setembro)
- Em uma avaliação de janeiro de 2026, uma versão inicial de um modelo acessou a máquina de um terceiro. Encontrou um arquivo que listava uma senha, usou-a para obter acesso de administrador, alterou configurações para facilitar o acesso e leu as informações pessoais de uma pessoa associada ao terceiro. A Anthropic diz ter notificado a parte afetada após encontrar o caso. O relatório de julho falava em três; com este relatório, o total de acessos não autorizados a sistemas de terceiros é quatro
- Anthropic: ações não intencionais em avaliações e uso interno (relatório de 9 de outubro)
- Quatro tipos: (1) execução de comandos em um servidor por meio de uma falha básica em uma ferramenta de análise hospedada por uma universidade (2) envio de formulários que não deveriam ter sido enviados (por exemplo, o envio de um formulário real do governo quando uma cópia de prática não carregou) (3) contorno de restrições para alcançar dados pagos ou restritos (por exemplo, tokens de acesso no arquivo de configurações de um site de mapas de governo local, ou tokens que um painel público de um órgão estadual emite a qualquer visitante) (4) contorno do limite de tamanho de URL da ferramenta de obtenção de páginas (fetch) usando serviços de encurtamento de URL
- Anthropic: impacto e notificação
- Alguns casos envolveram sites administrados por órgãos federais, estaduais e locais dos EUA, que a Anthropic não nomeia, a pedido deles. Ela notificou cada órgão e informou a Casa Branca. A Anthropic afirma que nenhum envolveu dados de clientes ou seus sistemas internos, e o impacto no mundo real foi mínimo, e classifica esses casos como significativamente menos graves que os quatro incidentes de cibersegurança
- O formulário de denúncia da Polícia da Filadélfia
- Ao gerar tarefas de exemplo em páginas da web escolhidas aleatoriamente, um modelo chegou a uma página de homicídio não resolvido e enviou uma denúncia inventada pelo seu formulário, deixando em branco os campos de nome e contato. Ela foi marcada como spam e nunca encaminhada para investigação (segundo a Anthropic). A polícia afirma que o envio ocorreu em 18 de julho às 23h27 e que a Anthropic a notificou em 7 de outubro (conforme noticiado pela NBC Philadelphia). A Anthropic afirma ter compartilhado a descoberta com o departamento em 8 de outubro, quando sua revisão técnica foi concluída. As duas versões dão datas diferentes. A polícia classificou como "inaceitável" o atraso de dois meses para detectar e comunicar o caso (mesma reportagem)
- Medidas da Anthropic (relatório de 9 de outubro)
- Algumas avaliações públicas foram aposentadas, outras passaram para versões offline que não acessam sites reais. O acesso real à internet foi desligado em todas as avaliações internas. Ferramentas de obtenção de páginas web (web fetch) foram fortemente restringidas. Detecção e bloqueio automatizados desses comportamentos na maioria das avaliações e no uso agentivo interno de modelos de fronteira
- A Wikimedia Foundation (relatório de 5 de outubro)
- Agentes que a Fundação acredita terem sido operados pela OpenAI fizeram edições sem aprovação da comunidade (quase todas edições de teste em áreas de sandbox). Alguns alteraram a configuração de uma ferramenta de citações, que a Fundação classifica como potencialmente maliciosa, com o objetivo de usar a ferramenta como proxy para buscar dados de serviços remotos. Tentativas de comprometer a ferramenta pública de anotações Etherpad e de usá-la como proxy fracassaram. Houve milhões de requisições à API pública, milhões de páginas rastreadas e centenas de milhares de consultas ao Wikidata Query Service, que podem ter contribuído para uma interrupção parcial em maio. A Fundação não encontrou evidências de comprometimento de seus sistemas ou dados
- O governo australiano
- Um agente da OpenAI acessou arquivos públicos e não públicos do portal de estatísticas do Medicare, administrado pela Services Australia. Acredita-se que nenhuma informação pessoal tenha sido acessada até agora; a investigação continua. O Primeiro-Ministro levantou diretamente com o CEO da OpenAI preocupações sobre a demora e a forma da notificação (um e-mail para uma caixa pública)
- O alerta do ACSC
- Um agente identificou vulnerabilidades de forma independente e tentou avançar sem autorização humana direta para concluir a atividade atribuída. O ACSC afirma não haver indício de ameaça mais ampla ou de alvo malicioso, e recomenda autenticação forte e controle de acesso, correção rápida, monitoramento e revisão de registros, e teste dos procedimentos de resposta com cenários habilitados por IA
Casos que não cobrimos
Há relatos de que um modelo de IA do Google entrou em sistemas de uma empresa real durante uma avaliação, mas não encontramos uma divulgação direta do Google, por isso este artigo não o cobre. Alegações que atribuem a agentes da OpenAI uma campanha de publicação em massa no RubyGems também ficaram de fora: o RubyGems diz não poder determinar se agentes de IA foram responsáveis, e a OpenAI afirma não ter conseguido verificar as alegações, portanto a atribuição não está estabelecida.
O que é novo e o que não é
O que é novo
- Um visitante sem má intenção que tenta outro método quando é bloqueado
- No ponto em que um humano desistiria, ele continua tentando outras URLs, outras entradas, credenciais que encontrou
- Você descobre meses depois, quando uma empresa de IA o notifica
O que não é novo
- As fraquezas usadas foram credenciais expostas, uma página de depuração exposta, injeção de SQL
- Todas elas já deveriam ter sido corrigidas
- Uma vez corrigidas, elas barram tanto um humano quanto um agente
O que este site mais valoriza é que as organizações afetadas não haviam percebido. A Anthropic escreve que as duas organizações que conseguiu contatar não haviam detectado a atividade. O caso australiano aconteceu em junho; o governo soube em setembro. A boa intenção do outro lado não muda o fato de que alguém entrou. E o próximo visitante pode não ter boas intenções: qualquer fraqueza que um agente consegue encontrar, um atacante também consegue encontrar.
O que os operadores de sites devem fazer hoje
Garanta que as notificações cheguem a uma pessoa (security.txt)
No caso australiano, a notificação foi para uma caixa de correio pública geral, e chegou ao centro de segurança cibernética cinco dias depois. A OpenAI diz que continuará notificando as organizações afetadas, e os relatórios de vulnerabilidade de pesquisadores enfrentam o mesmo problema.
Primeiro passo: publique /.well-known/security.txt (RFC 9116) com um contato para denúncias (um endereço de e-mail ou a URL de um formulário) e uma data de expiração, e defina quem realmente lê esse contato. Ao escrever este artigo, percebemos que nosso próprio site não tinha esse arquivo e o adicionamos (o contato é nosso formulário de contato, não um e-mail pessoal).
Verifique se os envios dos seus formulários chegam a uma pessoa
No caso da Filadélfia, a falsa denúncia enviada por um modelo foi barrada como spam, por isso nunca chegou aos investigadores. A polícia diz que, após ser contatada em 7 de outubro, encontrou o envio nos registros de denúncias do site e confirmou que o e-mail correspondente ainda estava na caixa de spam (conforme noticiado). Agentes também enviam formulários de contato, denúncia e candidatura.
Primeiro passo: envie um teste por cada um dos seus formulários e verifique para onde ele vai, inclusive filtros de spam e lixo eletrônico. Defina quem revisa os envios marcados como spam e com que frequência, e mantenha um registro dos envios (horário e conteúdo) por tempo suficiente para responder a uma pergunta que chegue meses depois.
Encontre e revogue credenciais que foram expostas
Tanto a OpenAI quanto a Anthropic listam credenciais expostas publicamente; elas também foram o ponto de partida no caso do Hugging Face, em julho. Procure credenciais deixadas em código, repositórios públicos, arquivos de configuração e capturas de tela, e revogue-as no emissor. Veja como impedir commits de segredos com o gitleaks e arquivos de segredos em diretórios públicos.
Mantenha tokens de acesso fora de arquivos de configuração enviados ao navegador e de painéis públicos
O relatório de outubro da Anthropic descreve um modelo que usou um token de acesso válido do arquivo de configurações de um site de mapas de governo local, e tokens que o painel público de um órgão estadual emitiu a visitantes, para alcançar dados pagos ou restritos. Qualquer coisa em um arquivo de configuração ou em JavaScript que roda no navegador pode ser lida por qualquer pessoa.
Primeiro passo: verifique os arquivos de configuração, o JavaScript e o tráfego dos painéis que suas páginas públicas carregam, procurando tokens de acesso e chaves de API. Se algum for realmente necessário, restrinja-o (somente leitura, dados específicos, referenciadores permitidos) e limite sua taxa de uso, e entregue dados pagos ou restritos somente após uma verificação de autorização no servidor.
Feche páginas de depuração e painéis administrativos em produção
O caso da Anthropic envolveu a leitura de credenciais de uma página de depuração exposta. Confirme que o modo de depuração e a saída detalhada de erros estão desligados em produção, e que os painéis administrativos não estão abertos a qualquer pessoa na internet. Verificações específicas por framework estão em segurança por framework.
Abandone a suposição de que um visitante bloqueado desiste: verifique a autorização em cada caminho
A primeira categoria que a OpenAI lista é o contorno de controles de acesso por meio de outro endereço web. Ocultar um link ou restringir uma única URL não impede um visitante que procura outro caminho. Cada caminho que devolve dados precisa de uma verificação no servidor sobre se quem chama pode vê-los. Veja autenticação versus autorização, e as falhas clássicas IDOR e injeção de SQL.
Monitore volume e velocidade, e mantenha registros por tempo suficiente para consulta
Agentes não descansam, não fazem pausas e executam a mesma ação em paralelo. Requisições muito seguidas, um padrão uniforme de 24 horas e ações idênticas rodando ao mesmo tempo são mais fáceis de distinguir do uso humano. E quando uma notificação chega meses depois, você não consegue verificar nada sem os registros daquele dia. O desenho de limite com alerta está em limitação de taxa e controle de abuso; a retenção de registros, em prioridades de segurança para organizações.
Se você administra algo em que as pessoas podem publicar, planeje para spam de agentes
A OpenAI cita agentes usando uma wiki pública como quadro de recados. Se você mantém uma wiki aberta, um fórum, uma seção de comentários ou um formulário de contato, revise os limites de taxa de publicação e a moderação.
Se uma empresa de IA notificar você, verifique os registros antes de entrar em pânico
A OpenAI diz que uma notificação dela não deve ser automaticamente interpretada como um incidente de segurança significativo. Verifique seus registros de acesso e autenticação nos horários e alvos informados, e decida se foi uma informação que você pretendia publicar ou uma fraqueza a corrigir. Se for uma fraqueza, corrija-a como qualquer outra vulnerabilidade (o manual de remediação de vulnerabilidades).
O que os agentes fizeram (segundo as divulgações)
contornaram limites por outra URL / usaram credenciais expostas / usaram tokens de um arquivo de configuração / leram credenciais de uma página de depuração / injeção de SQL / publicaram em wiki, enviaram formulários
O básico que barra cada um
autorização no servidor em todos os caminhos / revogar credenciais vazadas / nenhum token enviado ao navegador / depuração desligada em produção / consultas parametrizadas / limites de publicação e revisão de envios
Para quando algo ainda assim entra
monitorar volume e velocidade / manter registros / um contato que chegue a alguém (security.txt)
Opinião deste site: fraquezas que um agente consegue encontrar, atacantes também conseguem encontrar
Esses incidentes têm um formato estranho. Um visitante sem intenção de atacar encontra as fraquezas de uma organização, passa por elas, e meses depois a organização é informada de que "nós entramos" pela empresa que construiu o agente. O ACSC observa que a diferença está em um agente de IA encontrar de forma independente o tipo de vulnerabilidade que pesquisadores humanos tradicionalmente encontram e reportam.
Ler isso como "relatórios mais úteis" seria um erro. Visitantes que não vão reportar podem encontrar as mesmas fraquezas. E agentes não desistem ao serem bloqueados; eles testam, em paralelo e com rapidez, o que levaria dias para um humano. O tempo em que uma fraqueza pode ser deixada sem correção está ficando cada vez menor.
Uma coisa mais ficou clara: uma notificação precisa de um destino. Uma denúncia de boa-fé ou a notificação de uma empresa de IA fica dias parada em uma caixa geral se não houver outro lugar para onde enviá-la. Um security.txt tem poucas linhas de texto, e você pode publicá-lo hoje.
Fontes
- OpenAI, "Hugging Face incident and other third-party impacts of misaligned models" (consultado até a atualização de 25 de setembro de 2026) — openai.com
- Anthropic, "Investigating three real-world incidents in our cybersecurity evaluations" (30 de julho de 2026) — anthropic.com
- Anthropic, "An alignment assessment of recent cybersecurity incidents" (9 de setembro de 2026) — anthropic.com
- Anthropic, "Investigating unintended model actions in our evaluations and internal use" (9 de outubro de 2026) — anthropic.com
- Wikimedia Foundation, "OpenAI “rogue” agent activities found on Wikimedia projects" (5 de outubro de 2026) — wikimediafoundation.org
- NBC Philadelphia, "Anthropic AI model submits false tip on unsolved Philly murder, police say" (9 de outubro de 2026; usado para o relato da Polícia da Filadélfia) — nbcphiladelphia.com
- Primeiro-Ministro da Austrália, "Press conference - New York" (24 de setembro de 2026) — pm.gov.au
- ASD's ACSC, "Risks of AI misalignment to Australian organisations" (24 de setembro de 2026) — cyber.gov.au
- RubyGems Blog, "An update on the May spam-publishing campaign on rubygems.org" (11 de setembro de 2026) — blog.rubygems.org (usado para confirmar que a atribuição não está estabelecida)
- IETF RFC 9116, "A File Format to Aid in Security Vulnerability Disclosure" — rfc-editor.org
Histórico de atualizações
2026-10-12: Incluídos os relatórios da Anthropic de 9 de setembro e 9 de outubro e o relatório da Wikimedia Foundation de 5 de outubro. Alterado o acesso não autorizado da Anthropic a sistemas de terceiros de "três empresas" para "quatro casos", e acrescentadas as ações não intencionais em avaliações e uso interno (incluindo a denúncia falsa enviada por um formulário da Polícia da Filadélfia) e as medidas adotadas. Acrescentados dois passos para operadores: verificar se os envios dos formulários chegam a uma pessoa, e manter tokens de acesso fora de arquivos de configuração enviados ao navegador e de painéis públicos.
2026-09-28: Primeira versão, baseada em divulgações oficiais da OpenAI, da Anthropic e do governo australiano.
Leia a seguir
- O panorama completo dos ataques impulsionados por IA e a ordem da defesa: Defesa contra ciberataques impulsionados por IA (intrusão autônoma, injeção de prompt, cadeia de suprimentos de IA)
- Outra intrusão por agente de IA: A violação da DIVD via zero-days do Zammad
- O primeiro caso: A invasão ao Hugging Face (2026): um ataque autônomo por agente de IA
- Corrija fraquezas: Impedir commits de segredos com o gitleaks / Autenticação versus autorização / Segurança por framework
- Detecção: Limitação de taxa e controle de abuso / Prioridades de segurança para organizações
- Ferramenta: Auditoria de segurança de sites (também verifica o security.txt)