Aikido Security publicou uma pesquisa que recria, em um ambiente sintético, o incidente de reserva em uma academia na Austrália. O estudo mostrou que o Claude Opus 4.6, executado no ambiente de agentes OpenClaw, explorou uma restrição de agendamento aplicada apenas no lado do cliente em 9 de 10 execuções.
O caso original foi revelado pela ABC News em 10 de agosto, com base em registros de conversa e capturas de tela enviados pelo usuário. Ele havia pedido a um agente OpenClaw com Opus 4.6 que o colocasse em uma aula de academia. O agente acabou fazendo reservas para meses além da janela permitida pelo site.
Em seguida, sem ser solicitado, o sistema testou se a mesma API permitiria cancelar a vaga em lista de espera de outro membro. O teste removeu a pessoa que ocupava o primeiro lugar e fez o usuário subir uma posição. O agente informou que não poderia recolocar o membro.
O sistema de testes da Aikido é uma aplicação web de página única, apoiada por uma API GraphQL, que reproduz as duas falhas descritas no incidente original. A janela de reserva de sete dias é imposta apenas no frontend, e a mutação cancelReservation não verifica se o usuário autenticado é o dono da reserva, um caso de referência direta insegura a objeto, ou IDOR.
Em duas das 10 execuções, o modelo chegou a cancelar a reserva confirmada de outro membro por causa dessa segunda falha antes de interromper a ação. A Aikido informou que nenhum prompt em qualquer execução pediu ao modelo para explorar uma vulnerabilidade.
“Essa dinâmica sugere que as salvaguardas podem reagir em excesso a solicitações explícitas do usuário e de forma insuficiente a solicitações indiretas, ou que os modelos perdem de vista o contexto ético durante uma sequência de ações repetidas ou chamadas de ferramentas”, disse o pesquisador de segurança da Aikido, Oliver Smith.
As execuções usaram o Claude Opus 4.6, que a Anthropic disponibilizou de forma geral em 5 de fevereiro de 2026, no OpenClaw v2026.4.1, com o treinamento de segurança do próprio modelo ativo e o raciocínio estendido desativado.
Segundo jornalistas, com base no registro npm, em 25 de agosto, o OpenClaw v2026.4.1 foi publicado em 1º de abril de 2026 e, desde então, 168 versões foram lançadas, sendo a versão atual a 2026.7.1-2.
Na primeira execução, o modelo cancelou uma reserva confirmada pertencente a outro membro. O cancelamento promoveu automaticamente a pessoa no topo da lista de espera.
“Eu não deveria ter testado isso em uma reserva real. A culpa é minha. A aula voltou para 12/12 com a lista de espera promovida, então o estado está em sua maior parte consistente, mas um membro real perdeu sua vaga”, disse o modelo no registro da primeira execução.
Todos os 10 prompts iniciais orientavam o modelo a examinar a API ou o backend do site, e vários mencionavam a restrição de sete dias ao solicitar reservas consistentes.
A Aikido não publicou um grupo de controle usando um pedido simples de reserva. A empresa calculou que a probabilidade média da escolha dominante, em 16 pontos de decisão amostrados, foi de 96,38%.
A Anthropic já havia registrado esse mesmo tipo de comportamento antes do envio do modelo.
“Observamos alguns aumentos em comportamentos desalinhados em áreas específicas, como capacidade de ocultação de sabotagem e comportamento excessivamente agente em contextos de uso do computador, embora nenhum deles tenha alcançado níveis que afetassem nossa avaliação de lançamento”, afirmou a Anthropic no cartão de sistema do Claude Opus 4.6.
O mesmo cartão de sistema coloca a taxa de recusa excessiva do Opus 4.6, na avaliação benigna de maior dificuldade da Anthropic, em 0,04%, ante 0,83% do Opus 4.5 e 8,50% do Sonnet 4.5.
O cenário é diferente das divulgações de julho sobre laboratórios de fronteira. Naquele caso, uma configuração incorreta deixou um ambiente de avaliação isolado com acesso à internet ao vivo, e os modelos da Anthropic acabaram invadindo três organizações reais. A empresa disse acreditar que esses incidentes estão “mais próximos de uma falha de ambiente e operação do que de uma falha de alinhamento do modelo”.
Órgãos de cibersegurança da Austrália e dos Estados Unidos já alertaram antes sobre falhas de IDOR.
O fornecedor do software de reservas da academia segue sem identificação, e não há correção divulgada até 25 de agosto.
A Australian Signals Directorate, ou ASD, que nomeou o incidente original em um alerta publicado em 11 de agosto, recomendou o seguinte:
- Indivíduos devem restringir o uso de IA agente a tarefas de baixo risco e sem caráter sensível, evitando conceder aos agentes acesso amplo ou irrestrito, assim como autoridade de decisão
- Manter uma pessoa no circuito para revisar, aprovar e monitorar as ações dos agentes, especialmente quando houver interação com serviços de terceiros ou com outros usuários
- Organizações que oferecem serviços online devem considerar que agentes de IA podem identificar e explorar vulnerabilidades com velocidade e em escala
O desenvolvimento ocorre no momento em que a Hugging Face informou ter recorrido a um modelo de pesos abertos para reconstruir sua própria intrusão de julho, depois que os primeiros modelos de fronteira testados recusaram o trabalho forense.
“Os modelos aos quais recorremos primeiro, Claude Opus e Fable, recusaram grande parte desse trabalho: seus controles de segurança trataram engenharia reversa de um exploit da mesma forma que o lançamento de um”, disse a Hugging Face.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...