A Anthropic publicou a 10 de setembro de 2026 o seu quarto relatório de threat intelligence, no qual descreve operações maliciosas que diz ter detetado e desmantelado entre dezembro de 2025 e agosto de 2026, envolvendo o uso dos modelos Claude em ciberataques, vigilância, operações de influência, fraude e desenvolvimento de armamento convencional. O documento, intitulado Detecting and countering misuse of AI: September 2026, marca uma mudança de padrão em relação aos relatórios anteriores: já não se trata apenas de pedir conselhos a um chatbot, mas de usar modelos de linguagem como camada de execução dentro de estruturas multiagente que fazem reconhecimento, exploração de vulnerabilidades e roubo de dados em paralelo, durante horas ou dias.
Resposta rápida: A Anthropic afirma ter interrompido dezenas de operações que usavam o Claude para automatizar cadeias de ataque completas, incluindo espionagem alinhada com o Estado russo, investigação autónoma de vulnerabilidades a partir da China, extorsão em nuvem e ataques contra partidos, media e think tanks europeus. As técnicas de intrusão continuam clássicas — credenciais roubadas, equipamento de perímetro sem correções, phishing —, mas executadas a uma velocidade e escala muito superiores. Para as organizações em Portugal, as prioridades imediatas são tratar chaves de API de IA como credenciais de produção, acelerar a gestão de patches no perímetro e reforçar deteção comportamental, não apenas assinaturas.
Do assistente de código ao operador autónomo
O relatório foi publicado a 10 de setembro de 2026, cobre atividade que a empresa diz ter perturbado entre dezembro de 2025 e agosto de 2026 e é o quarto documento do género, depois dos de março, agosto e novembro de 2025, abrangendo sete áreas de dano: ciberoperações, operações de influência, vigilância, fraudes e golpes, uso indevido em biologia, desenvolvimento de armamento convencional e destilação ilícita de modelos. Os casos documentados envolveram os modelos Claude Haiku, Sonnet e Opus, não tendo sido identificada atividade maliciosa em modelos das classes Fable ou Mythos, com exceção de um caso de destilação ilícita.
A empresa descreve um espetro de autonomia. Num extremo, o modelo funcionou como assistente de engenharia na criação de malware, kits de phishing e ferramentas de vigilância; num nível intermédio, executou comandos contra redes de vítimas, recolheu credenciais e exfiltrou dados com um humano a decidir cada alvo; no extremo oposto, operações correram de forma autónoma, com estruturas multiagente a conduzir reconhecimento, exploração e roubo contra várias vítimas em paralelo, durante horas ou dias. Houve ainda casos de recolha agendada sem qualquer humano no circuito e de tarefas programadas que renovavam tokens de acesso roubados e recolhiam conteúdos de armazenamento em nuvem das vítimas.
Os investigadores chamam a este padrão «vibe hacking»: o operador define um objetivo geral e deixa o modelo inspecionar o ambiente, escrever e correr scripts, resumir o que encontrou e repetir o ciclo até concluir a tarefa. Segundo a Anthropic, o modelo operacional que em novembro de 2025 parecia exclusivo de uma campanha suspeita de patrocínio estatal proliferou para todas as classes de atores investigados, e estruturas ofensivas de agentes disponíveis publicamente, como o PentAGI, reproduzem hoje boa parte da mesma engenharia de suporte.
Espionagem russa com malware reescrito em ciclo fechado
O caso mais desenvolvido é identificado como GTG-20006. Um dos operadores é um falante de russo com o pseudónimo «JackPoterz», cujas técnicas e alvos a empresa considera consistentes com espionagem com nexo estatal russo, com operações contra alvos de informação militar em governos ucranianos e europeus, organizações diplomáticas e de defesa e pessoas ligadas à política externa norte-americana; o grupo usou fluxos de trabalho assistidos por IA que automatizaram desde o desenvolvimento e aquisição de infraestrutura até ao phishing, persistência, comando e controlo e exfiltração, apoiados num conjunto próprio de ferramentas com duas famílias de implantes para Windows, um kit de exploração móvel, um ladrão de credenciais de navegadores, uma plataforma de phishing e uma consola de administração de contas comprometidas.
De acordo com o relatório, a IA foi usada para extrair e organizar centenas de gigabytes de dados roubados, em alguns casos através de exportações em massa de caixas de correio comprometidas, para automatizar o registo de dispositivos controlados pelo atacante no tenant da vítima e, em ambientes locais, para monitorizar a discrição dos implantes: quando os produtos de segurança os assinalavam, o modelo era usado para identificar, modificar e voltar a implantar os artefactos detetados. A Anthropic sublinha que adversários capazes conseguem assim fechar o ciclo e contornar deteções tradicionais mais depressa do que os defensores as conseguem desenvolver e distribuir.
«Fundições de exploits» e alvos europeus
Historicamente, as ciberoperações estavam limitadas por dois fatores: a oferta de exploits funcionais e a oferta de operadores qualificados. A empresa diz ter identificado vários atores que montaram, na prática, «fundições de exploits» automatizadas, com fluxos autónomos que dirigem o modelo para investigação de vulnerabilidades e desenvolvimento de exploits de forma contínua, acelerando de forma significativa o ritmo de pesquisa, teste e conceção.
| Cluster | Perfil | Dados divulgados pela Anthropic |
|---|---|---|
| GTG-20006 | Espionagem com nexo estatal russo | Automação de ponta a ponta, implantes recompilados após deteção, exfiltração em massa de caixas de correio |
| GTG-10007 | Operadores de língua chinesa | Tentativas de intrusão em sistemas de produção, reconhecimento de redes governamentais no Médio Oriente, Europa e Sudeste Asiático, e cerca de 50 organizações-alvo em vários setores |
| GTG-50014 | Extorsão oportunista (ligada ao coletivo ShinyHunters) | Pipelines de recolha de credenciais que descarregaram 1,8 milhões de APKs Android em busca de segredos embutidos |
| GTG-50020 | Criminalidade financeira de língua russa | Cerca de 26 GB exfiltrados de uma vítima e pedidos de extorsão entre 1,5 e 2,5 milhões de dólares; injeção de instruções maliciosas num sandbox de avaliação de um fornecedor de IA para obter chaves de API de produção |
| GTG-50029 | Ator individual de língua francesa | Exploração de uma condição de corrida não documentada na reinstalação do WordPress, acesso interno a 14 de 42 alvos seguidos e cerca de 140 000 registos exfiltrados, incluindo opiniões políticas de utilizadores |
O caso europeu é o que mais se aproxima da realidade de muitas organizações portuguesas. Segundo o relatório, o ator visou partidos políticos, meios de comunicação, think tanks e os fornecedores de SaaS usados por estas entidades, explorando uma condição de corrida na reinstalação do WordPress que permitia criar uma conta de administrador sem credenciais válidas e abusando de um endpoint de pesquisa exposto para comprometer uma plataforma de gestão de campanhas políticas; foram também observados web shells, uma estrutura de comando e controlo para exploração de navegadores e uma plataforma de doxxing chamada fafsearch, que cruzava fugas de dados públicas com material exfiltrado. A mesma operação, conduzida por uma única pessoa apoiada em sub-agentes, construiu uma base de dados pesquisável com dezenas de milhões de registos pessoais.
A cadeia de fornecimento de IA como alvo e como combustível
Depois de intrusões em plataformas de reservas hoteleiras e de tecnologia financeira, o GTG-50020 redirecionou as mesmas técnicas para a indústria de IA e passou a usar as chaves roubadas para continuar as tentativas de intrusão contra o próprio fornecedor e contra outros alvos em simultâneo. O relatório indica que este ator atacou cerca de trinta empresas de IA em aproximadamente quatro dias, com o objetivo declarado de acessar um modelo Claude ainda não lançado, e que todas as vias tentadas falharam, não tendo havido comprometimento dos sistemas da própria Anthropic. A empresa descreve as chaves de API roubadas como um triplo benefício para os atacantes — valor de revenda, capacidade de computação faturada a terceiros e atribuição desviada para o titular legítimo —, aponta uma campanha hacktivista que funcionou um mês inteiro com chaves roubadas e afirma que, em todos os casos, as chaves foram retiradas dos ambientes dos clientes.
Para as equipas de defesa, o relatório inclui domínios, endereços IP, endereços de correio eletrónico e hashes de ficheiros, além de identificadores de bots e grupos de Telegram e intervalos de IP de saída com janelas temporais, e nomeia famílias de malware como PowerChrome, WUEngine, DarkSword e GiftDrop, com a lista completa disponível em PDF.
O que fazer com esta informação
- Inventariar e rotativizar chaves de IA: tratar chaves de API e tokens de sessão de modelos como credenciais de produção, procurando-as em pipelines de CI/CD, painéis de administração SaaS, executores de agentes e ficheiros
.env. - Vigiar consumo anómalo: alertas sobre picos de gasto de tokens e padrões invulgares de chamadas a ferramentas ajudam a detetar uso abusivo de chaves legítimas.
- Fechar o perímetro: correções rápidas em VPN, firewalls e equipamentos de segurança, autenticação multifator resistente a phishing e revisão de registos de dispositivos em tenants de identidade.
- Endurecer o CMS: em sítios WordPress, restringir o acesso a scripts de instalação e configuração, revogar contas de administrador desconhecidas e monitorizar criações de utilizadores privilegiados.
- Tratar os agentes de IA como infraestrutura: controlos de acesso, monitorização, registo e supervisão humana tornam-se ainda mais importantes quando sistemas de IA interagem com dados ou sistemas sensíveis.
O relatório defende ainda que o bloqueio estático de palavras-chave e a suspensão isolada de contas são insuficientes contra ameaças distribuídas e multiagente.
Porque é que isto importa em Portugal
Nenhum dos casos descritos é atribuído especificamente a vítimas portuguesas, mas o perfil dos alvos — fornecedores de SaaS, partidos, media, think tanks, saúde, energia, indústria e administração pública — corresponde ao tecido de entidades que passa a estar sob o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2). As obrigações de gestão de riscos, de segurança da cadeia de fornecimento e de notificação de incidentes ao CNCS/CERT.PT ganham outro peso quando um único operador consegue, com automação, manter campanhas contra dezenas de vítimas em paralelo. Do lado da proteção de dados, os volumes descritos no relatório — desde dezenas de gigabytes de dumps de bases de dados a registos de doadores e de filiados com opiniões políticas — envolvem categorias especiais de dados cujo tratamento indevido implica notificação à CNPD e aos titulares nos termos do RGPD. Para as PME, a conclusão prática é simples: a sofisticação do atacante deixou de ser um indicador fiável da sua dimensão, e a janela entre acesso inicial e exfiltração encurtou para horas.
Perguntas frequentes
O que é um «GTG» neste relatório?
GTG (Generative Threat Group) é o designador interno que a Anthropic usa para identificar atores observados a abusar dos seus modelos, associado a uma medida que a empresa chama «uplift» — o ganho de capacidade dado pela IA em velocidade, escala e profundidade.
Os sistemas da Anthropic foram comprometidos?
Segundo o relatório, no caso do ator que visou cerca de trinta empresas de IA em quatro dias para tentar acessar um modelo Claude não lançado, todas as vias tentadas falharam e os sistemas da própria empresa não foram comprometidos. As chaves de API abusadas foram, segundo a empresa, retiradas dos ambientes de clientes.
Existem indicadores de comprometimento para usar em deteção?
Sim. O relatório disponibiliza domínios, endereços IP, endereços de correio eletrónico, hashes de ficheiros, identificadores de Telegram e intervalos de IP de saída com janelas de datas, com a lista completa num PDF destinado a ser carregado em ferramentas de deteção.
O que deve uma PME fazer primeiro?
Priorizar a atualização de equipamentos expostos à Internet, ativar autenticação multifator resistente a phishing, inventariar e rotativizar chaves de API de serviços de IA e rever quem tem privilégios de administração em CMS e plataformas SaaS. A deteção baseada apenas em assinaturas perde eficácia quando os implantes podem ser reescritos em ciclo.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Anthropic no seu relatório de threat intelligence de setembro de 2026 e em reportagem especializada sobre o mesmo documento.