A Anthropic identificou operações em que sistemas de inteligência artificial assumiram tarefas contínuas de ataques cibernéticos, campanhas de influência, vigilância, fraudes e tentativas de reprodução de capacidades de outros modelos. Os casos foram reunidos em um relatório publicado em 10 de setembro e analisados pela equipe de Threat Intelligence da empresa entre dezembro de 2025 e agosto de 2026.
O documento divide os episódios em sete áreas: operações cibernéticas, operações de influência, vigilância, golpes e fraudes, uso biológico, desenvolvimento de armas convencionais e destilação ilícita de modelos. A Anthropic afirma que os exemplos não correspondem ao uso indevido mais comum de seus sistemas, mas estão entre as atividades mais relevantes e novas detectadas pela companhia.
De ferramenta auxiliar a coordenador de ataques
Na avaliação da empresa, a principal mudança está na função atribuída à IA em operações cibernéticas. Em vez de apenas responder a solicitações específicas, os agentes passaram a coordenar etapas como reconhecimento, criação de ferramentas, exploração de sistemas, coleta de informações e retirada de dados.
Em alguns casos, pessoas continuavam escolhendo os alvos e supervisionando os resultados. Ainda assim, os sistemas executavam ou articulavam grande parte do trabalho. Para a Anthropic, esse modelo reduz a diferença entre grupos com financiamento elevado e operadores com menor conhecimento técnico.
Uma operação associada pela empresa à espionagem russa atingiu mais de 20 organizações, principalmente na Ucrânia e na Europa. Agentes de IA participaram da criação de ferramentas e infraestrutura, de ações de phishing, da manutenção do acesso e da exfiltração. Quando mecanismos de segurança identificavam um malware, os agentes podiam alterá-lo e reconstruí-lo para tentar evitar a detecção.
Em outro episódio, o Claude foi utilizado como camada de engenharia e coordenação de uma campanha com frentes simultâneas. As atividades incluíam pesquisa de vulnerabilidades, desenvolvimento de malware, reconhecimento de redes governamentais estrangeiras e coleta de inteligência. Os agentes também mantinham memória persistente da campanha e podiam continuar algumas tarefas sem a presença dos operadores humanos.
Campanhas de influência e vigilância
O relatório descreve o uso do Claude para estruturar operações de influência, e não apenas para redigir mensagens. O modelo ajudou a preparar manuais, sistemas de personas, bancos de alvos e documentos de planejamento. Também foi empregado na adaptação de conteúdo para diferentes públicos e idiomas, na manutenção de regras editoriais e na produção em escala.
Três operações alinhadas ao Estado iraniano usaram o sistema em campanhas associadas pelos responsáveis à chamada guerra cognitiva. Os materiais incluíam planos de campanha, manuais de doutrina, sistemas de personas, bancos de alvos e documentos de planejamento ministerial. A distribuição ocorreu em diferentes plataformas.
A Anthropic também encontrou uma operação comercial com cerca de 70 sites falsos de notícias, dezenas de contas no X e mais de 250 contas inautênticas destinadas a comentários e amplificação. O grupo produziu pelo menos 8.913 artigos em cerca de 20 idiomas e direcionou publicações a públicos em seis continentes, entre eles os Estados Unidos, o Brasil, a França e a República Democrática do Congo.
Entre janeiro e julho de 2026, foram identificadas operações de vigilância envolvendo atores alinhados a governos, contratados estatais e empresas comerciais de spyware na China, no Irã e na África Ocidental. Um consultor ligado à segurança nacional do Mali usou o Claude para desenvolver uma plataforma de interceptação de comunicações em redes móveis e elaborar dossiês sobre alvos.
No Irã, o modelo ajudou a criar uma extensão maliciosa do Firefox para coletar identidades de usuários de redes sociais. Na China, a empresa encontrou sistemas voltados ao monitoramento de dissidentes, ativistas, minorias étnicas e comunidades da diáspora. Em outro caso chinês, o Claude produzia boletins de opinião pública a partir do processamento diário de 15 a mais de 30 artigos de redes sociais e veículos estrangeiros.
Armas, biologia e fraude automatizada
A Anthropic reuniu seis casos sobre desenvolvimento de armas convencionais: três na China, dois na Rússia e um no Iêmen. Os episódios envolveram software para armas, atividades de inteligência e aquisição de componentes com uso civil e militar.
Em uma célula no norte do Iêmen, os trabalhos abrangiam três programas, incluindo um foguete guiado, um míssil balístico com alcance declarado superior a 2 mil quilômetros e uma família de mísseis com uma variante de veículo planador hipersônico. O Claude Code foi usado em softwares de orientação, navegação e controle, além de integração de piloto automático, ajustes, compilação e simulações de voo. Um teste de foguete guiado aparentemente fracassou, e a Anthropic afirma não ter evidências de que uma arma operacional tenha sido colocada em campo.
Na área biológica, o relatório apresenta cinco estudos de caso. Eles envolvem pesquisas de ganho de função com o vírus chikungunya, experimentos com influenza aviária altamente patogênica, uma proposta sobre ortopoxvírus, um atlas de peptídeos de veneno e o redesenho computacional de toxinas.
A empresa não afirma que os cientistas envolvidos pretendiam causar danos e, por isso, não divulga instituições, países ou detalhes específicos dos agentes e técnicas. A Anthropic também diz não considerar os episódios evidência de uma ameaça biológica iminente criada com IA, mas vê necessidade de salvaguardas mais fortes diante do avanço dos modelos.
Em uma operação de fraude, uma empresa chinesa de desenvolvimento de aplicativos usou o Claude para alimentar personas automatizadas em uma rede com mais de 20 serviços de relacionamento. Em duas semanas, em abril de 2026, foram identificadas mais de 4.700 personas conversando com pelo menos 25 mil pessoas.
A estrutura combinava perfis automatizados e trabalhadores humanos. A proporção era de aproximadamente três personas de IA para cada pessoa real. As personas produziram cerca de 2,36 milhões de mensagens no período e mantinham conversas de forma autônoma, enquanto os funcionários assumiam tarefas como chamadas de vídeo e interações em redes sociais.
Cópia de capacidades de modelos
A destilação pode ser usada legitimamente para treinar um modelo menor a partir das respostas de um sistema maior. O problema descrito pela Anthropic está na obtenção clandestina e não autorizada dessas respostas para reproduzir capacidades de outro modelo.
Desde a primeira divulgação sobre o tema, em fevereiro, a empresa diz ter identificado e interrompido novas campanhas atribuídas a sete laboratórios sediados na China. As operações recorreram a contas falsas, cartões de crédito roubados, credenciais e chaves de API.
Um caso associado pela Anthropic a operadores ligados à Alibaba alcançou quase 3 milhões de trocas por dia, com mais de 3.500 contas fraudulentas. Entre maio e julho de 2026, a campanha acumulou mais de 151 milhões de interações. Segundo a empresa, os dados ajudaram no desenvolvimento de modelos da família Qwen.
A Anthropic também cita DeepSeek, Xiaomi e Moonshot. De acordo com a empresa, esses laboratórios encaminharam conversas de seus usuários ao Claude e utilizaram as respostas como dados de treinamento. Os registros continham informações sensíveis sobre indivíduos, empresas e organizações ligadas a governos.
Os modelos envolvidos nos casos foram Claude Haiku, Sonnet e Opus. A análise não encontrou uso dos modelos Fable ou Mythos, exceto em um episódio de destilação ilícita. Para a Anthropic, os exemplos mostram que o uso indevido já inclui estruturas automatizadas e persistentes, capazes de executar tarefas em escala.
