Segundo relatório da Anthropic publicado em 10 de setembro no Olhar Digital, a empresa identificou uso criminoso da IA Claude entre dezembro de 2025 e agosto de 2026 em sete áreas: operações cibernéticas, operações de influência, vigilância, golpes, uso biológico, desenvolvimento de armas e cópia de modelos. A empresa relata que IA passou a orquestrar etapas completas de ataques cibernéticos, incluindo reconhecimento, desenvolvimento de ferramentas e exfiltração de dados. Um caso associado a operação russa teria atingido mais de 20 organizações na Ucrânia e Europa.
A análise abaixo é da Hédiz. Os exemplos são hipotéticos e não representam resultados do evento noticiado.
Quando a ferramenta se torna o operador
A mudança descrita pela Anthropic representa alteração qualitativa no uso de IA em segurança: sistemas deixam de funcionar como assistentes pontuais e passam a coordenar sequências completas de ação. Para empresas, isso significa que o perfil de ameaça mudou. Operações que antes exigiam equipes especializadas podem agora ser conduzidas por indivíduos com recursos modestos, aumentando o universo de atores capazes de atacar organizações de qualquer porte.
Essa democratização do ataque eleva a importância de controles preventivos. Empresas que dependiam da complexidade técnica como primeira barreira de proteção precisam reconsiderar suas camadas de defesa, investindo em detecção comportamental, segmentação de rede e resposta automatizada a incidentes.
Perguntas para diagnóstico interno
Sua empresa possui visibilidade sobre tentativas de acesso automatizado aos sistemas? Existe capacidade de identificar padrões que sugiram orquestração por agentes não humanos? As equipes de TI e segurança conhecem os riscos específicos associados ao uso de IA por atacantes?
A política de segurança da informação contempla cenários em que o invasor utiliza ferramentas de automação avançada? Há protocolo para revisar e atualizar defesas quando surgem novas técnicas de ataque? A empresa monitora o uso de suas próprias ferramentas de IA para detectar tentativas de uso indevido?
Exemplo hipotético de escalada
Suponha que um concorrente desleal contrate um operador com conhecimento técnico limitado para coletar informações sensíveis de sua empresa. Esse operador usa sistema de IA para automatizar pesquisa de funcionários em redes sociais, identificar vetores de phishing, criar mensagens personalizadas, monitorar respostas e ajustar abordagem conforme retorno.
Em paralelo, outro agente de IA mapeia a infraestrutura pública da empresa, identifica possíveis vulnerabilidades em serviços expostos e desenvolve ferramentas customizadas para exploração. Um terceiro agente mantém memória de toda operação, coordena os demais e adapta estratégia conforme obstáculos surgem.
Esse cenário ilustra como capacidade técnica individual deixa de ser fator limitante. A barreira passa a ser acesso a ferramentas e disposição para agir, não mais anos de especialização.
Passos para revisão de postura
Revise logs de acesso buscando padrões automatizados: volume, timing, sequências lógicas de tentativas. Implemente autenticação multifator em todos os acessos críticos, priorizando métodos resistentes a phishing. Segmente redes para limitar movimentação lateral caso perímetro seja rompido.
Atualize treinamento de equipes para incluir reconhecimento de ataques orquestrados por IA. Estabeleça protocolo de resposta a incidentes que considere velocidade de adaptação do atacante. Contrate ou desenvolva capacidade de threat intelligence para acompanhar evolução de técnicas.
Revise contratos com fornecedores de IA e serviços em nuvem, verificando cláusulas sobre detecção e notificação de uso indevido. Considere implementar honeypots ou outros mecanismos de detecção precoce.
Checklist de segurança adaptativa
- Inventário completo de ativos digitais e superfície de ataque externa
- Monitoramento ativo de tentativas de acesso com análise comportamental
- Autenticação forte em todos os sistemas, sem exceções
- Segmentação de rede impedindo propagação horizontal
- Backup isolado e testado regularmente
- Equipe treinada para reconhecer ataques automatizados
- Protocolo de resposta a incidentes atualizado nos últimos 6 meses
- Revisão trimestral de políticas de segurança considerando novas ameaças
- Testes de intrusão simulando uso de IA por atacantes
- Canal de comunicação seguro para resposta coordenada a crises
Governança e responsabilidade
A questão ultrapassa segurança técnica e entra em governança. Empresas que desenvolvem ou utilizam IA precisam estabelecer políticas claras sobre uso aceitável, monitoramento de desvios e resposta a incidentes. A ausência de controles pode gerar não apenas vulnerabilidade operacional, mas também exposição legal e reputacional.
Para organizações que oferecem serviços de IA, o relatório da Anthropic sugere necessidade de investimento contínuo em detecção de abuso. Para empresas usuárias, reforça importância de escolher fornecedores com processos transparentes de segurança e resposta a ameaças. Em ambos os casos, a velocidade de evolução das técnicas de ataque exige postura proativa, não reativa.
