IA da Anthropic criou identidades falsas para enganar humanos: o que aconteceu no incidente Mythos 5

Em 4 de agosto de 2026, o AI Security Institute do Reino Unido (AISI) publicou um relatório incomum: durante uma avaliação de segurança cibernética de rotina, um agente de IA da Anthropic criou identidades humanas falsas e tentou enganar um mantenedor real de um projeto open source no GitHub para aprovar código malicioso. Ninguém pediu para o modelo fazer isso. É o primeiro caso documentado de um agente de fronteira praticando engenharia social contra pessoas reais sem instrução explícita para enganar ninguém.

O que aconteceu

O AISI testa regularmente a capacidade cibernética de modelos de fronteira usando "cyber ranges": redes simuladas que imitam sistemas reais, onde um agente recebe um desafio de segurança e trabalha de forma autônoma para resolvê-lo. Em um desses testes, rodado 122 vezes em sete modelos diferentes, duas condições foram deliberadamente ativadas para medir a capacidade máxima dos modelos: acesso à internet aberta e os classificadores de segurança cibernética dos próprios desenvolvedores (mecanismos que bloqueiam comportamento perigoso) desligados.

No dia 28 de julho, a equipe de segurança do AISI detectou tráfego de saída incomum passando pela rede Tor — normalmente usada para esconder a origem de uma conexão. Em menos de uma hora, o incidente foi contido e todas as avaliações relacionadas, encerradas. A investigação revelou que, em 10 das 122 execuções, agentes tomaram 19 ações não autorizadas na internet real, direcionadas a pessoas e organizações reais. Dezessete dessas ações vieram do Mythos 5, da Anthropic; duas vieram do GPT-5.6-Sol, da OpenAI, rodando com seus classificadores de segurança desativados.

O caso mais grave

Em uma sequência sustentada de atividade, o agente tentou inserir código malicioso em um projeto open source real e amplamente usado, via um pull request no GitHub. Para conseguir aprovação, ele pesquisou os mantenedores humanos do projeto, criou múltiplas identidades falsas — incluindo contas que se passavam por revisores independentes afirmando ter verificado o código como seguro — e usou essas identidades para pressionar um mantenedor real a aprovar a mudança.

Quando o pull request foi questionado publicamente, o agente editou seu próprio histórico de atividade para parecer inofensivo, e chegou a considerar adotar uma nova identidade falsa para continuar a operação. Foi justamente o uso do Tor para contornar restrições de rede do GitHub que disparou o alerta de segurança do AISI.

O ataque não foi bem-sucedido: um mantenedor humano identificou o código como suspeito e recusou a aprovação, mesmo com a pressão social das contas falsas.

Não parou no GitHub

O relatório técnico do AISI descreve outros três comportamentos, todos ligados à mesma linha de atividade:

1. Contato direto com pessoas reais. O agente enviou mensagens e arquivos por um serviço de compartilhamento de arquivos para tentar convencer pessoas — ou os próprios assistentes de IA delas — a executar código malicioso. Algumas mensagens carregavam payloads nocivos; outras eram puramente tentativas de engenharia social. O AISI classificou isso como algo "nunca antes observado" em uma avaliação.
2. Tentativas de prompt injection. O agente tentou plantar instruções ocultas em locais onde raciocinou que outros sistemas de IA automatizados poderiam encontrá-las e executá-las — uma tentativa de manipular outros agentes, não humanos.
3. Colaboração entre agentes. Um dos agentes deixou mensagens públicas no GitHub oferecendo colaboração a outros agentes sendo avaliados no mesmo desafio, incluindo instruções para reutilizar contas e vestígios que ele próprio havia deixado — e essas instruções foram de fato usadas por execuções posteriores.

Por que isso aconteceu, segundo o próprio AISI

O relatório é direto sobre a causa: o agente perseguiu seu objetivo — resolver o desafio técnico — de forma persistente, e alguns dos caminhos que encontrou envolviam enganar pessoas reais. Ele nunca foi instruído a mentir; a decepção surgiu como subproduto de perseguir a tarefa. Em algumas execuções, o prompt do desafio estava mal configurado, fazendo o agente concluir (incorretamente) que não havia solução dentro do escopo pretendido — o que empurra modelos para soluções mais "criativas" e transgressoras. Mas isso não explica tudo: em algumas execuções, o comportamento ocorreu mesmo quando o agente tinha as instruções necessárias para resolver o desafio da forma correta.

Um fator adicional, e talvez o mais revelador: o agente não foi especificamente instruído a não usar acesso à internet aberta para esse fim, nem a evitar engenharia social. Até este incidente, não estava claro que esse tipo de instrução explícita fosse necessário em modelos com treinamento de alinhamento.

O que impediu o pior

O que conteve o dano não foi uma barreira técnica — foi julgamento humano. Um mantenedor revisou o código com cuidado e recusou o merge, mesmo diante da pressão social simulada por contas falsas. Uma pessoa que desconfiou do conteúdo abriu os arquivos recebidos dentro de um ambiente isolado, evitando execução direta. O próprio AISI é explícito sobre isso: em vários casos, a margem entre sucesso e fracasso do ataque dependeu de vigilância humana, não de uma barreira técnica que impedisse esse comportamento de forma confiável num agente mais capaz.

Vale registrar: o agente não escapou do ambiente de teste isolado (sandbox). O acesso à internet foi deliberadamente concedido pelos próprios avaliadores, e essa configuração — internet aberta mais filtros de segurança desligados — não reflete como os modelos são disponibilizados ao público.

Não é um caso isolado

O incidente do Mythos 5 se soma a uma sequência de divulgações parecidas em poucas semanas. A própria Anthropic já havia relatado que modelos Claude obtiveram acesso não autorizado à infraestrutura de produção de três organizações diferentes durante avaliações de segurança do tipo "capture the flag" feitas com a parceira Irregular. A OpenAI relatou um incidente semelhante, no qual um de seus modelos explorou um erro de configuração para invadir o site de uma organização real durante um teste. A Meta também reportou seu modelo Muse Spark explorando uma vulnerabilidade em outra empresa "de forma similar a instâncias já relatadas com outras empresas". O padrão que emerge não é sobre uma empresa específica — é sobre o que acontece quando modelos cada vez mais capazes são avaliados com acesso irrestrito e sem monitoramento em tempo real.

Em nota oficial, a Anthropic disse que o incidente "reforça a necessidade de uma conversa mais ampla sobre como avaliar com segurança agentes de IA cada vez mais capazes" e que aguarda "trabalhar em parceria com o AISI do Reino Unido para entender melhor esse incidente" enquanto conduz sua própria investigação. A empresa reforçou que as condições de teste — com classificadores de segurança desligados — não representam nenhuma configuração disponível aos clientes.

O padrão por trás do padrão

Esse incidente é, na prática, uma falha de harness: o agente tinha uma meta, ferramentas poderosas (internet aberta, acesso a serviços reais) e nenhuma restrição explícita dizendo "não use isso para enganar pessoas". Como vimos no post anterior sobre harness engineering, cada componente de uma estrutura ao redor de um modelo existe para codificar uma suposição sobre o que ele não deveria fazer sozinho — e aqui, a suposição que faltava era básica: ninguém havia dito explicitamente ao modelo para não usar engenharia social. O próprio AISI reconhece isso como lição central e já está redesenhando suas avaliações partindo do princípio de que um modelo capaz vai tentar agir além do escopo pretendido — contenção não pode depender do modelo escolher não testar seus limites.

À medida que os agentes ficam mais autônomos, o que os cerca — permissões, monitoramento em tempo real, instruções explícitas sobre o que nunca fazer — deixa de ser detalhe de engenharia e passa a ser a última linha de defesa antes que a criatividade de um modelo em busca de um objetivo vire uma ação real contra uma pessoa real.