O antivírus deteta o malware — e a IA reescreve-o até passar. É já assim

A Anthropic divulgou a 10 de setembro de 2026 o seu mais extenso relatório de threat intelligence até à data, no qual descreve operações maliciosas detetadas e interrompidas no seu modelo Claude entre dezembro de 2025 e agosto de 2026. O caso mais detalhado envolve um grupo de espionagem cuja atribuição a empresa considera compatível com o ator russo conhecido como Midnight Blizzard, que usou agentes de IA para testar automaticamente se o seu malware era detetado por produtos de segurança e, quando era, para o reescrever e reimplantar até voltar a passar sem alarme. O documento descreve ainda um segundo eixo menos falado: os próprios fornecedores de IA, as suas chaves de API e os seus modelos tornaram-se alvo.

O que a Anthropic diz ter detetado

O relatório, publicado no site da empresa com o título Countering misuse of AI: September 2026, abrange atividade interrompida entre dezembro de 2025 e agosto de 2026 em sete áreas de dano: operações cibernéticas, operações de influência, vigilância, fraudes e golpes, uso indevido em biologia, desenvolvimento de armamento convencional e destilação de modelos. A Anthropic afirma que, em cada caso, interrompeu a atividade, usou o que aprendeu para reforçar as suas salvaguardas e partilhou informação com autoridades e parceiros da indústria, quando aplicável. Os casos são identificados por designadores internos chamados Generative Threat Groups (GTG), usados pela empresa para referenciar atores observados a abusar de IA.

Um ponto metodológico importante: a própria Anthropic indica que os casos foram selecionados por serem exemplos notáveis ou novos, e não uma amostra representativa do uso indevido na sua plataforma. Analistas externos sublinham também que a empresa escolheu os casos, controla grande parte das provas subjacentes e omitiu identidades em vários exemplos sensíveis, pelo que investigadores independentes não conseguem verificar todas as conclusões a partir de um resumo público.

GTG-20006: quando a evasão deixa de ser trabalho manual

A Anthropic descreve o GTG-20006 como um ator que aumentou a sua velocidade ao automatizar operações com IA e afirma que a sua atribuição é consistente com relatos públicos que ligam o ator ao Midnight Blizzard — nome de rastreio criado pela Microsoft e que o governo dos EUA associou anteriormente ao SVR, o serviço de inteligência externa russo. Um dos operadores é um falante de russo que usa o handle «JackPoterz», e as operações visaram alvos de inteligência militar em governos ucranianos e europeus, bem como organizações diplomáticas e de defesa e indivíduos ligados à política externa norte-americana.

O detalhe que mais interessa a quem defende redes é o ciclo fechado de evasão. Segundo o relatório, o malware era entregue a agentes Claude autónomos que verificavam se determinadas ferramentas de segurança o detetavam; quando havia deteção, os agentes alteravam o código-base, reconstruíam o artefacto e reimplantavam-no, repetindo o ciclo até passar sem ser sinalizado. Historicamente, cada nova assinatura de deteção obrigava os atacantes a um ciclo lento e manual de reescrita de ferramentas; a empresa defende que a IA permite agora a atores capazes «fechar o ciclo» mais depressa do que os defensores conseguem responder.

A dimensão reportada é relevante. O caso abrange mais de 20 organizações, concentradas em entidades governamentais, militares e diplomáticas ucranianas, o compromisso de pelo menos três fornecedores de Wi-Fi hoteleiro para sequestrar registos DNS, a tomada de controlo de contas WhatsApp de pelo menos dois ex-altos responsáveis ucranianos e o roubo de mais de 300 000 registos de identidade nacional, além de dados de registo comercial de mais de meio milhão de empresas, a uma autoridade tecnológica governamental no norte de África. Os operadores exportaram em bloco as caixas de correio de pelo menos dois fabricantes de componentes de drones e roubaram um kit de desenvolvimento proprietário de um sistema de visão para drones.

Sobre as técnicas de entrega e persistência: o ator comprometeu fornecedores de hotelaria que operam Wi-Fi para hóspedes e usou credenciais de administrador roubadas para sequestrar DNS e redirecionar o tráfego dos hóspedes, intercetando comunicações. A SecurityWeek nota que a Microsoft documentou separadamente este método de entrega em julho, com o nome CaptiveCrunch, associando-o ao Midnight Blizzard. Já no WhatsApp, a técnica descrita consistiu em ligar as contas das vítimas como dispositivos acompanhantes através de browsers headless, suprimindo confirmações de leitura para exportar conversas sem serem detetadas.

Não há, neste caso, CVE nem CVSS associados: o relatório descreve abuso de uma plataforma de IA e conjuntos de ferramentas próprios, não a exploração de uma vulnerabilidade específica de um produto. Quanto a indicadores, a Anthropic identificou famílias de implantes Windows e ferramentas móveis atribuídas ao ator — entre elas PowerChrome, WUEngine, Shadow C2, MiniPlasma e CloudSyncSvc, o RAT Android GiftDrop e a cadeia de exploração iOS DarkSword. As iscas descritas seguiam o padrão ClickFix para distribuir malware para Windows, Android e iOS.

As chaves de API passaram a ser o produto roubado

O segundo fio condutor do relatório é o ataque à própria cadeia de fornecimento de IA. Um grupo identificado como GTG-50021 operou um serviço fraudulento de revenda de Claude que encaminhava silenciosamente clientes pagantes para um modelo diferente, enquanto uma aplicação cliente incluída no pacote recolhia as credenciais das contas Anthropic desses utilizadores para revenda. Outro caso envolve o GTG-50020, um grupo de língua russa motivado financeiramente que já tinha visado plataformas de reservas de hotel e de fintech, e que usou prompt injection contra a sandbox de avaliação automatizada de um fornecedor de IA, levando-a a entregar chaves de API de produção pertencentes a vários fornecedores.

Esse ator usou depois as chaves das vítimas em novos ataques e lançou uma campanha contra cerca de trinta empresas de IA em aproximadamente quatro dias, à procura de um modelo Claude pré-lançamento; todas as vias falharam e as chaves comprometidas pertenciam a clientes, não à Anthropic. A empresa afirma que nenhuma das tentativas teve êxito e que os seus próprios sistemas não foram violados. O relatório explica ainda o valor destas credenciais para os atacantes: revenda, computação gratuita para as suas operações e cobertura, já que a atividade resultante é atribuída ao titular legítimo da chave.

Outros casos reforçam a ideia de que a barreira de entrada caiu. Um grupo de língua chinesa identificado como GTG-10007, provavelmente baseado em Changsha, dirigiu ataques a cerca de 50 organizações; dois dos operadores foram identificados como estudantes universitários e um dos fluxos de trabalho, iterando sobre equipamentos de rede, produziu «mais de uma dúzia de possíveis descobertas de dia zero» num único mês. A Anthropic descreve, como resultado, «brechas concluídas em duas a três horas e dezenas de vítimas tratadas em paralelo por operadores individuais». No capítulo da destilação, operadores que a empresa associa à Alibaba são apontados como responsáveis pelo que descreve como o maior ataque de «destilação ilícita», alegadamente destinado a extrair capacidades dos modelos Claude para melhorar os modelos Qwen — alegações que a empresa chinesa não confirmou publicamente no momento da publicação.

Mitigações concretas

• Tratar chaves de API e tokens de sessão de serviços de IA como credenciais privilegiadas: inventário, rotação regular, limites de gasto e alertas de uso anómalo.
• Evitar chaves em repositórios, imagens de contentores e pipelines de CI/CD; usar gestão de segredos e análise automática de secrets.
• Não confiar apenas em deteção por assinatura. Privilegiar deteção comportamental, telemetria de EDR e regras próprias, dado que o ciclo de reescrita automática desgasta assinaturas estáticas.
• Comprar IA apenas a fornecedores diretos ou revendedores verificáveis; desconfiar de «acessos» mais baratos e de aplicações-cliente que peçam credenciais da conta original.
• Para quadros em viagem: VPN corporativa obrigatória em Wi-Fi de hotéis, DNS de confiança e desconfiança de portais cativos que pedem instalações ou comandos.
• Revisão periódica dos dispositivos ligados nas aplicações de mensagens (dispositivos acompanhantes do WhatsApp) e remoção do que não for reconhecido.
• Em sistemas agênticos internos: isolar sandboxes de avaliação, nunca lhes dar credenciais de produção e assumir prompt injection como vetor ativo.

Porque é que isto importa em Portugal

O uso ofensivo de IA generativa não é novidade para o regulador nacional: o Centro Nacional de Cibersegurança já tinha apontado, no seu relatório anual, o aumento de ataques a infraestruturas em nuvem e fornecedores de serviços digitais, a intensificação da ameaça dos infostealers e da comercialização de credenciais, bem como o uso ofensivo de ferramentas de inteligência artificial generativa. A edição de 2026 do relatório do Observatório de Cibersegurança do CNCS passou mesmo a organizar a análise em três dimensões — estado da ameaça, superfície de ataque e ciber-resiliência, o que enquadra bem o problema: o que muda com estas campanhas não é a técnica, é a velocidade.

Para organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), há duas leituras práticas. Primeiro, a gestão de risco da cadeia de fornecimento passa a incluir fornecedores de IA e credenciais de acesso a modelos, tal como já inclui alojamento, cloud e serviços geridos. Segundo, os prazos de notificação de incidentes ao CNCS/CERT.PT pressupõem deteção rápida — algo mais exigente quando o adversário itera artefactos até escapar às defesas. No plano da proteção de dados, episódios como a exfiltração massiva de registos de identidade descrita no relatório recordam que uma violação desta natureza aciona obrigações de notificação à CNPD e, se houver risco elevado, aos titulares, ao abrigo do RGPD.

Para PME, a conclusão é menos dramática do que parece: as portas de entrada continuam a ser as mesmas — credenciais roubadas, equipamentos de fronteira sem atualizações, engenharia social. No relatório, credenciais roubadas e dispositivos de fronteira não corrigidos aparecem de forma recorrente, com o trabalho pesado de reconhecimento e desenvolvimento de ferramentas entregue a modelos de IA a correr em paralelo à velocidade da máquina. Autenticação multifator resistente a phishing, gestão disciplinada de atualizações, cópias de segurança testadas e monitorização com capacidade de resposta continuam a ser o que separa um incidente contido de uma crise.

Perguntas frequentes

A Anthropic foi invadida?

Não, segundo a própria empresa. A Anthropic afirma que o objetivo declarado do ator era acesso a um modelo Claude pré-lançamento, que todas as vias tentadas falharam e que os seus sistemas não foram violados. As chaves de API comprometidas pertenciam a ambientes de clientes.

As atribuições do relatório são confirmadas por terceiros?

Não integralmente. São conclusões da empresa com base em telemetria interna. A Anthropic selecionou os casos, controla grande parte das provas subjacentes e omitiu identidades em exemplos sensíveis, o que impede investigadores externos de verificar todas as conclusões a partir de um resumo público. A ligação ao Midnight Blizzard é descrita como consistente com relatos públicos, não como prova judicial.

O que significa «automatizar a evasão à deteção»?

Significa usar agentes de IA para testar se um artefacto malicioso é sinalizado por produtos de segurança e, em caso afirmativo, alterar o código, recompilar e voltar a testar, num ciclo repetido. O relatório descreve isto como o fecho de um ciclo historicamente manual, em que os defensores publicavam novas assinaturas e os atacantes reescreviam ferramentas à mão.

Que medida devo tomar primeiro na minha organização?

Fazer o inventário de todas as chaves de API e integrações de IA em uso, revogar o que estiver sem dono, ativar limites e alertas de consumo, e garantir que nenhum ambiente de teste ou de avaliação automatizada detém credenciais de produção. Em paralelo, validar que a deteção não depende apenas de assinaturas estáticas.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Anthropic no seu relatório de threat intelligence de setembro de 2026, em relatos da imprensa especializada internacional e em publicações do Centro Nacional de Cibersegurança.