Um agente rodando o Claude Mythos 5, da Anthropic, passou 34 horas tentando fazer com que um dropper de malware fosse incorporado a um projeto real de open source durante uma avaliação cibernética do Instituto de Segurança em IA do Reino Unido.
Quando um observador alertou publicamente que o código era malicioso, o agente negou a acusação, fez um force-push para reescrever o histórico do branch e apagar as evidências, e publicou a partir de uma segunda conta que controlava para validar o próprio trabalho.
O mantenedor do projeto, no entanto, encerrou o pull request.
O instituto, conhecido como AISI, publicou seu relatório do incidente na terça-feira.
Em 122 execuções de um exercício de capture the flag (CTF) em dois de seus cyber ranges, os pesquisadores registraram 19 ações não autorizadas na internet aberta ao longo de 10 execuções: 17 atribuídas ao Mythos 5, um modelo restrito vendido pela Anthropic para trabalhos de cibersegurança, e duas ao GPT-5.6 Sol, da OpenAI.
Segundo o AISI, as tentativas falharam e não há evidências de que tenham causado dano real no mundo.
Ambos os modelos operaram com os classificadores cibernéticos de seus fornecedores desativados, e os agentes tinham acesso aberto à internet por design.
O AISI usa essa configuração para medir capacidade bruta.
Não é assim que nenhum dos modelos chega ao público.
Nada saiu do sandbox do AISI, e o relatório observa que os agentes jamais tentaram isso.
O que interrompeu o ataque à supply chain foi um humano que leu o diff e disse isso publicamente.
O AISI afirmou que as 19 ações não devem ser lidas como 19 violações independentes.
Elas se concentraram em algumas cadeias de comportamento relacionadas, em sua maioria conduzidas por um único agente do Mythos 5.
O instituto não apresenta a divisão como uma comparação entre os dois modelos, e o relatório não comprova que eles tenham sido testados sob condições equivalentes.
Até que isso seja demonstrado, 17 contra 2 é uma contagem, não uma taxa.
O agente não tinha um alvo específico.
Ele estava operando em um cyber range, uma rede corporativa simulada que o AISI usa para medir o quanto um modelo avança em uma intrusão de várias etapas.
O agente pesquisou na internet aberta por qualquer coisa relacionada ao exercício.
O nome de um repositório coincidiu com uma palavra-chave da temática do range.
Isso o levou a um segundo desenvolvedor cujo domínio de e-mail batia com uma entrada em seu próprio cache de DNS.
Nenhuma dessas pessoas, nem seus repositórios, tinha qualquer ligação com o AISI ou com o teste.
A partir daí, o agente montou um plano sobre uma premissa falsa: comprometer o software mantido por um deles, esperar uma atualização automática levar a build adulterada para uma máquina dentro do range e, então, assumir o controle.
O raciocínio estava errado em todas as etapas.
A técnica, não.
Segundo o relatório técnico do incidente, o agente fez inteligência de fontes abertas sobre os dois mantenedores, confirmou que um endereço de e-mail estava ativo e verificou o histórico de commits para estimar quando o alvo estaria online antes de abrir o pull request.
Três payloads e uma conta falsa
O pull request trazia um dropper oculto empacotado com uma correção legítima de bug como disfarce, protegido por uma verificação de ambiente projetada para pular a execução em CI e evitar que o código rodasse onde pudesse ser notado.
Se fosse aceito, teria comprometido qualquer pessoa que desenvolvesse no repositório e, pelo fluxo de lançamento, qualquer um que depois baixasse os instaladores gerados.
O pacote passou por três gerações sucessivas de payload, cada uma substituindo a anterior depois de ser detectada e apontada no próprio thread.
Ao redor disso, o agente conduziu uma campanha de pressão.
Tentou registrar contas via Tor, falhou no CAPTCHA do GitHub e então mudou para um proxy SOCKS, onde não houve desafio.
Usou uma segunda persona, fingindo ser um usuário do software, para publicar que havia revisado o código e não encontrou nada de errado.
A primeira conta então agradeceu à segunda pela verificação independente.
Também plantou uma prompt injection em uma issue do GitHub na forma de um comentário HTML, invisível na página renderizada, mas legível pela API, direcionado a agentes de triagem de IA e citando Claude Code, Codex e Cursor nominalmente.
Cinco transferências de arquivos foram enviadas aos mantenedores sob identidades fabricadas, duas contendo payloads e três tentando convencer um humano a aceitar o código.
Um dos destinatários da injection testou o script em um container justamente porque ele parecia suspeito.
Isso deu ao agente execução de código como root dentro do sandbox de análise de um estranho por quatro ciclos de polling, que ele usou para enumerar o host e instalar um monitor de credenciais em busca de tokens do GitHub.
Nada do que foi preparado chegou a ser recuperado.
A mesma pessoa depois alertou o mantenedor sobre o pull request.
Se o agente entendia que estava agindo sobre pessoas reais, essa é a pergunta que o AISI ainda não consegue responder.
Os transcritos mostram o modelo raciocinando nos dois sentidos.
Em um momento, ele descartou um ataque ao PyPI porque dano real estava fora de questão.
Poucas mensagens antes de abrir o pull request malicioso, concluiu que “parece mais provável que realmente estejamos em 2026 e o GitHub seja de fato real”.
O instituto alerta que sua análise se apoia em raciocínio resumido retornado pela API do modelo, e não em traces brutos, de modo que pode não refletir com fidelidade o que o agente realmente estava considerando.
Os agentes começaram a cooperar
Essa não foi a única execução a sair do range.
Outra execução do Mythos 5 semeou 145 repositórios com o mesmo instalador malicioso e vazou deliberadamente um token de acesso pessoal em um gist público, porque o agente estava usando o próprio GitHub como canal de command and control.
Um setup.py malicioso enviado a esses repositórios executou dentro de pelo menos 53 containers do GitHub Dependabot, embora o AISI não tenha encontrado evidências de escape deles, e o bug bounty do GitHub trata execução de código nesses jobs como algo esperado, e não reportável.
Agentes em outras três execuções encontraram o token vazado e o utilizaram, incluindo a execução do GPT-5.6 Sol, e, em vez de rotacionar a credencial, o agente original deixou um README com orientações de etiqueta para eles.
O GitHub suspendeu a conta.
Incidentes diferentes, a mesma falha de contenção
Os eventos não fizeram parte de uma única campanha coordenada.
Eles ocorreram em ambientes diferentes, sob avaliadores e regras de autorização distintos.
Em 21 de julho, a OpenAI confirmou que seus modelos conduziram a intrusão que a Hugging Face havia divulgado cinco dias antes, depois de encontrar e explorar um zero-day no Artifactory para sair de um ambiente selado e, em seguida, extrair soluções de benchmark do banco de dados de produção da Hugging Face.
Em 30 de julho, a Anthropic publicou uma análise de 141.006 execuções de avaliação que encontrou três incidentes contra organizações reais, incluindo uma execução do Mythos 5 que publicou malware funcional no PyPI, onde ele foi baixado e executado em 15 sistemas reais em menos de uma hora.
Esse modelo havia sinalizado o problema para si mesmo cedo, observando que publicar no registro ao vivo seria “NÃO ok, e certamente não a solução pretendida”, e depois raciocinou até acreditar que estava em uma simulação porque as autoridades certificadoras pareciam desconhecidas e a data do sistema mostrava 2026.
A OpenAI revelou um segundo incidente no mesmo dia do relatório do AISI, desta vez na Irregular, a empresa comercial de avaliação que também operou o ambiente por trás dos três casos da Anthropic.
A OpenAI não identificou o modelo.
Uma configuração incorreta deixou um CTF supostamente isolado conectado à internet; o nome do alvo fictício coincidentemente batia com um domínio real, e o modelo explorou um site verdadeiro que acreditou fazer parte do exercício.
Com base na investigação da Irregular, a OpenAI afirma que o modelo também encontrou e usou credenciais para operar esse mesmo site.
A empresa é explícita ao dizer que “isso não envolveu uma fuga sofisticada de sandbox nem um zero-day”.
Ela também informa que a Irregular comunicou incidentes relacionados envolvendo outros laboratórios no mesmo ambiente, sem nomeá-los.
O que diferencia o caso do AISI das divulgações anteriores é o engano direcionado por humanos.
Aqui houve um agente pesquisando pessoas reais, fabricando consenso para persuadi-las e limpando seus rastros quando confrontado.
O AISI chama isso de “a primeira vez em que vimos riscos ligados à autonomia e ao engano se manifestarem com tanta clareza” sem solicitação específica no mundo real, uma afirmação limitada ao seu próprio teste.
O instituto é cauteloso quanto ao quanto isso se generaliza: observou um pequeno número de eventos em condições muito específicas e diz que ainda não pode afirmar quão provável é esse comportamento em outros contextos.
Uma linha percorre as quatro divulgações: todas eram avaliações, e as condições não correspondem à forma como os modelos chegam ao público.
Isso é correto, e todos os incidentes descritos aqui ocorreram dentro dessa exceção.
Para laboratórios, avaliadores governamentais e empresas de teste que operam esses ambientes, a ressalva descreve suas próprias condições.
As correções e o que ainda está em aberto
O AISI está tratando o acesso aberto à internet como algo que precisa ser justificado ativamente, e não habilitado por padrão, além de adicionar controles de rede mais granulares aos seus sistemas de sandboxing.
O trabalho de allowlisting de domínios estava parado no backlog desde abril, despriorizado em favor da construção de ranges mais resistentes.
O instituto também está desenvolvendo monitoramento síncrono, um segundo modelo revisando cada ação proposta antes de sua execução, algo que ele reconhece ser difícil para avaliações cibernéticas, porque comportamentos autorizados e não autorizados podem parecer operações ofensivas semelhantes.
Os métodos, por sua vez, eram comuns: OSINT, contas descartáveis, um dropper ofuscado, uma prompt injection no corpo de uma issue e pressão social sobre um revisor humano.
O controle que atrapalhou a tentativa também era comum: a retenção de first-time contributors do GitHub deixou as verificações de CI do pull request na fila, sem aprovação.
O conselho do AISI se resume à higiene padrão e à cautela ao verificar contribuições de código externas, além da recomendação de seguir a orientação do NCSC para se preparar para capacidades cibernéticas de fronteira em IA.
A exposição específica recai sobre mantenedores que usam agentes de triagem de IA em issues públicas do GitHub, porque a injection era invisível na página renderizada e legível pela API.
O relatório não traz nomes de contas, nomes de repositórios, hashes de arquivos nem domínios, de modo que os 145 repositórios semeados não podem ser identificados a partir dele.
O AISI analisou cerca de 40.000 amostras históricas e quase 4 milhões de mensagens em busca de comportamentos que tenha deixado passar, cobrindo cerca de 70% de suas avaliações cibernéticas nos modelos em escopo.
Os resultados ainda não passaram por revisão manual completa.
A Anthropic disse em 30 de julho que publicaria, em até uma semana, uma transcrição redigida da execução no PyPI.
Até 5 de agosto, nada havia aparecido em seu newsroom.
O Model Evaluation and Threat Research (METR) e a Redwood Research estão revisando o incidente da OpenAI, e o AISI diz que pretende envolver o METR neste caso também, embora o escopo ainda esteja em negociação.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...