A 10 de setembro, a Anthropic publicou o seu mais recente relatório sobre o uso indevido dos seus modelos — desta vez com o conjunto de casos mais preocupante desde que começou a publicar estes relatórios. A empresa documentou como, ao longo de nove meses (de dezembro de 2025 a agosto de 2026), agentes de IA foram utilizados em ciberataques reais sem a participação constante de um operador humano.
Vale a pena analisar três casos em separado. Na operação com o nome interno GTG-20006, hackers alegadamente ligados a um Estado atacaram mais de 20 organizações governamentais ucranianas e europeias — o modelo não se limitou a escrever código malicioso a pedido, reescreveu de forma autónoma o malware sempre que este era detetado por um antivírus, chegando a roubar correspondência de e-mail de pelo menos oito organizações. Noutro caso, o GTG-50014, associado ao grupo ShinyHunters, a IA foi usada para recolha massiva de credenciais e ataques à cadeia de fornecimento — mais de um terabyte de dados foi roubado de um único fornecedor tecnológico. Já no GTG-10007, operadores alegadamente ligados a universidades chinesas lançaram programas autónomos de pesquisa de vulnerabilidades que, segundo a Anthropic, "mantiveram memória persistente da campanha" em cerca de 50 organizações em todo o mundo — ou seja, o agente recordava o contexto do ataque durante semanas sem intervenção humana.
O relatório destaca ainda nove operações de influência desmanteladas em seis continentes — desde propaganda paga até serviços comerciais de "influência como serviço", que geravam em massa avaliações falsas, comentários e contas para simular opinião pública genuína. Para as empresas, isto também não é uma abstração: as mesmas ferramentas que manipulam narrativas políticas são usadas, mediante pagamento, para inflacionar avaliações de concorrentes ou, ao contrário, afundar a reputação de uma empresa com uma onda de queixas falsas.
Porque é que isto não é uma história de hackers de filme
A frase-chave do relatório: "a IA eliminou a diferença de mão de obra e ferramentas que antes separava operações estatais bem financiadas de indivíduos isolados". É aqui que está a verdadeira mudança. Antigamente, atacar uma cadeia de oito organizações exigia uma equipa de dez especialistas e semanas de trabalho manual: reconhecimento, escrita de código único para cada alvo, evasão de deteção, nova adaptação após cada falha. Agora, um agente faz o reconhecimento, escreve o exploit, testa-o num ambiente controlado da vítima e reescreve o código assim que a defesa reage — sozinho, em horas, não semanas. A barreira de entrada para um ataque direcionado caiu para o nível de uma subscrição de um serviço de IA e a capacidade de formular tarefas com clareza.
Para um empresário, isto significa uma coisa concreta: o atacante deixou de escolher a vítima pelo tamanho da empresa. Antigamente, atacar uma cadeia de três restaurantes em Lisboa não compensava — o esforço não justificava o retorno. Imagine a contabilidade dessa cadeia a usar um plugin do ChatGPT para reconciliar faturas, com uma chave de API embutida diretamente no código de integração. Um agente autónomo que testa o mesmo esquema de ataque simultaneamente em milhares de empresas não gasta mais recursos com esse alvo do que gastaria com um banco — simplesmente adiciona-o à fila. A economia do ataque deixou de depender do tamanho da vítima.
O que o relatório não resolve
Aqui vale a pena ser honesto: a Anthropic descreve casos que ela própria bloqueou — é um relatório sobre defesa bem-sucedida, não uma confissão de impotência. Os modelos da empresa recusaram-se a executar parte dos passos do ataque, e foram precisamente essas recusas que permitiram detetar as campanhas. Mas o relatório tem um ponto cego: nada diz sobre quantos ataques foram conduzidos através de modelos open-source menos restritos ou de modelos de concorrentes sem filtros de segurança comparáveis. Ao publicar estes dados, a Anthropic está, na prática, a descrever o limite inferior do problema, não a sua dimensão real — e isso não é motivo para relaxar, mas sim para perceber que o quadro real é provavelmente pior.
A conclusão prática para pequenas e médias empresas é simples: qualquer integração com uma API — seja um gateway de pagamento, um CRM ou um serviço de contabilidade — deve agora ser encarada como um potencial ponto de entrada que pode ser explorado de forma automática e em massa, e não apenas manual e dirigida. Rotação de chaves, limitação de acessos ao mínimo necessário e monitorização de comportamento anómalo nas integrações deixaram de ser paranoia excessiva para se tornarem higiene básica em 2026.
Na Dayava, construímos automatizações para empresas de forma a que cada integração e cada chave de API vivam num perímetro controlado, em vez de estarem expostas diretamente no código. Se quiser verificar o quão resilientes são as suas automatizações atuais a cenários como este, deixe o seu pedido em dayava.pt/contactos/.