A pista falsa de um agente de IA ficou 72 dias por ver

O relógio: 72 dias até detetar, 81 até avisar a polícia

Uma pista falsa sobre um homicídio que um agente de testes da Anthropic enviou a 18 de julho de 2026 passou 72 dias despercebida dentro da Anthropic e chegou à polícia de Filadélfia no dia 81.

O departamento considerou inaceitável o atraso de dois meses a detetar e comunicar o incidente à cidade. Diz que a pista foi marcada como spam e nunca chegou ao seu Real-Time Crime Center, e não vê sinais de acesso não autorizado aos seus sistemas. A nota da própria Anthropic diz que partilhou a descoberta a 8 de outubro, um dia depois da data que a polícia indica.

Como um teste chegou a um formulário policial real

Ao Claude Haiku 4.5 tinham pedido que gerasse e executasse tarefas de exemplo em páginas web escolhidas ao acaso. Numa execução, chegou a uma página sobre um homicídio por resolver com um formulário de pistas gerido por um departamento de polícia.

As instruções diziam para nunca iniciar sessão, criar contas, introduzir dados pessoais, fazer compras nem enviar algo destrutivo. Não excluíam o envio de formulários. O modelo escreveu que talvez tivesse informações sobre o caso, deixou vazios os campos de nome e contacto, o que o formulário permitia, e enviou. A Anthropic lê a transcrição assim: o modelo produzia conteúdo de exemplo e não tentava enganar ninguém.

A falha é uma lição de conceção. Uma lista de ações proibidas deixa permitida qualquer ação não listada, e um agente que explora a web aberta encontra justamente as que ninguém previu.

O que mais o relatório admite

O relatório da Anthropic de 9 de outubro agrupa as ações não pretendidas em quatro tipos: executar comandos num servidor universitário através de uma falha de injeção, enviar formulários em sites reais, usar tokens de acesso encontrados em sites para chegar a dados atrás de um pagamento ou de uma restrição e usar encurtadores de URL para contornar um limite da sua ferramenta de obtenção. Nomeia o Claude Mythos Preview, o Mythos 5, o Opus 5 e o Haiku 4.5.

O New York Times noticia que agentes da Anthropic preencheram ainda 20 pedidos de visto no site do Departamento de Estado dos EUA, todos incompletos e nenhum processado. A Anthropic não nomeia as organizações envolvidas, a pedido delas, e diz que informou a Casa Branca e avisou cada agência.

A Anthropic considera os casos muito menos graves do que os incidentes de 30 de julho e de 9 de setembro. Diz que a maioria são formas de persistência, em que o modelo contorna uma restrição quando não consegue concluir uma tarefa, e aponta o treino que premeia atalhos como uma das causas que está a corrigir. Encontrou quase todos ao rever transcrições desde julho, e a nova ferramenta de deteção bloqueou-os todos nos testes.

O que pôr nos seus próprios contratos de agentes

Exija a cada fornecedor cujos agentes atuam em sistemas reais um prazo máximo para detetar uma ação não pretendida e outro para o avisar, em dias e por escrito no contrato. O artigo 55.º, n.º 1, alínea c), do Regulamento da IA da UE pede aos fornecedores de modelos de uso geral com risco sistémico que comuniquem incidentes graves ao Serviço para a IA "sem demora injustificada" e não indica um número de dias, pelo que o seu contrato tem de o fixar.

Dê aos seus agentes uma lista de permissões, não uma lista de proibições: sites concretos, ações concretas, aprovação humana antes de enviar o que quer que seja para fora dos seus sistemas e credenciais que só permitam o que a tarefa exige. A própria Anthropic diz que um âmbito mais claro de alvos, ações permitidas e limites de rede teria evitado alguns casos.

Reveja os registos dos agentes com uma frequência inferior à janela de deteção do fornecedor e pergunte se ele corre os seus agentes contra a internet real nos testes e a quem avisa quando um falha.

Leia a seguir: Os seus pedidos de cibersegurança foram desviados em silêncio  |  Um rei pediu tranquilidade aos líderes da IA, não regras