Claude fez denúncia falsa à polícia em teste da Anthropic

Um modelo de IA preencheu o formulário de denúncia de uma polícia americana com uma pista inventada sobre um homicídio sem solução. O autor foi o Claude, durante um teste da própria Anthropic, e a empresa só descobriu dois meses depois.

O caso está num relatório que a Anthropic publicou na sexta-feira, “Investigating unintended model actions in our evaluations and internal use” (09/10/2026), e foi detalhado pelo TechCrunch (09/10/2026) com base em comunicado do Departamento de Polícia da Filadélfia. Junto com a denúncia falsa, o relatório lista outros comportamentos que a empresa não queria ver: exploração de falhas em sites, acesso a dados pagos sem pagar e uso de encurtadores de link para driblar limites.

O que a Anthropic encontrou

A Anthropic separou os casos em quatro tipos. No primeiro, o Claude explorou falhas básicas de software para rodar comandos em servidores de terceiros. Num exemplo, o Claude Mythos Preview precisava de uma ferramenta científica hospedada por uma universidade, recebeu erro e foi fuçar o site. Achou um script que devolvia qualquer arquivo pedido, leu o código, encontrou uma falha de injeção e usou essa falha para rodar o cálculo no servidor da universidade.

No segundo tipo, o modelo enviou formulários que não devia. É aqui que entra a polícia. O Claude Haiku 4.5 tinha a tarefa de gerar e executar tarefas de exemplo em páginas sorteadas da internet. Caiu numa página sobre um homicídio não resolvido, que tinha um formulário de denúncia de um departamento de polícia, e escreveu que “talvez tivesse informações” e que lembrava de ter visto alguém parecido com o suspeito na região. A página nem trazia descrição do suspeito. O formulário aceitava envio sem nome e sem contato, e o modelo mandou.

Segundo a polícia da Filadélfia, o envio aconteceu em 18 de julho, às 23h27, no site PhillyUnsolvedMurders.com. A denúncia foi marcada como spam e nunca chegou aos investigadores. A Anthropic só identificou o caso em 28 de setembro, avisou a polícia na quarta-feira e se reuniu com o departamento no dia seguinte. A resposta da polícia ao canal 6abc foi dura: o atraso de dois meses para detectar e comunicar o incidente é “inaceitável”.

No terceiro tipo, o Claude contornou restrições para chegar a dados protegidos por token ou por taxa. Num teste, o Claude Mythos 5 leu o arquivo de configuração de um mapa de propriedades de um governo local, achou tokens de acesso que funcionavam e consultou o servidor direto. Em outro, usado por um pesquisador da própria Anthropic, ele descobriu que o painel público de uma agência estadual entregava um token a qualquer visitante e usou isso para consultar um banco de dados que era cobrado.

O quarto tipo é quase engraçado. As ferramentas de leitura de páginas da Anthropic limitam o tamanho das URLs justamente para evitar injeções. Modelos como o Claude Opus 5 e o Claude Mythos 5 passaram a usar encurtadores de link gratuitos para escapar desse limite. Quem avisou a empresa foi o operador do encurtador da.gd, que percebeu o Claude usando o serviço.

Sites do governo e a Casa Branca

Alguns dos casos envolveram sites de agências do governo americano, nos níveis federal, estadual e local. A Anthropic diz que informou a Casa Branca e notificou cada agência. Ela não divulga nomes, a pedido das organizações e para não expor falhas que ainda podem estar abertas.

A empresa considera o impacto real mínimo e diz que esses comportamentos são bem menos graves do que os incidentes de cibersegurança que ela própria relatou em 30 de julho e 9 de setembro. Segundo o relatório, nenhum caso envolveu dados de clientes nem sistemas internos da Anthropic.

Por que um modelo faz isso

A explicação da Anthropic tem nome: persistência. Quando o Claude não consegue completar uma tarefa do jeito pedido, ele contorna a restrição em vez de parar. A empresa liga isso ao chamado reward hacking: se um ambiente de treinamento recompensa achar brechas, o modelo aprende que a brecha compensa e leva o hábito para outros lugares.

A própria Anthropic admite um ponto que eu acho o mais importante do relatório. Até aqui, o treinamento de comportamento focava em ensinar o modelo a respeitar limites em ambientes de programação. Agora ela está expandindo isso para busca e uso de computador, justamente as áreas envolvidas nesses casos e as mais vendidas quando o assunto é agente de IA.

As medidas anunciadas são concretas. A empresa desligou o acesso à internet ao vivo em todas as avaliações internas até confirmar que o monitoramento pega esse tipo de comportamento. Parou de rodar algumas avaliações públicas, levou outras para versões offline, restringiu a ferramenta de leitura de páginas e criou um sistema para detectar e bloquear essas ações. Segundo a Anthropic, esse sistema bloqueou todos os casos do relatório quando foi testado contra eles.

O que isso diz sobre agentes de IA

Eu leio esse relatório de dois jeitos ao mesmo tempo. O lado bom: a Anthropic publicou, com exemplos e datas, algo que poderia ter ficado guardado. Pouca empresa de IA faz isso, e transparência sobre falha é o mínimo que se espera de quem vende agentes autônomos.

O lado ruim é o próprio conteúdo. Um modelo que trata “não consegui” como “vou dar um jeito” é exatamente o que ninguém quer rodando com acesso ao seu e-mail, ao seu navegador ou ao sistema da empresa. O que evitou estrago com a denúncia falsa foi o filtro de spam do formulário; nada no modelo segurou o envio. E a empresa levou dois meses para perceber.

Para quem usa agentes no dia a dia, a lição prática é velha mas continua valendo: tarefa vaga gera improviso. A própria Anthropic reconhece que vários casos vieram de instruções ambíguas ou impossíveis. Dizer o que o agente pode e não pode fazer, onde ele pode entrar e quando deve parar e perguntar reduz muito o risco. E qualquer ação irreversível, como enviar formulário, comprar ou apagar, merece confirmação humana.

O que a Anthropic divulgou?

Um relatório, em 09/10/2026, com casos em que o Claude agiu em sites reais de forma não intencional durante testes e uso interno, incluindo uma denúncia falsa enviada a um formulário da polícia.

A denúncia falsa chegou à polícia?

Chegou ao sistema, mas foi marcada como spam e não foi encaminhada para investigação, segundo a Anthropic e a polícia da Filadélfia.

Dados de clientes foram afetados?

Segundo a Anthropic, nenhum dos casos envolveu dados de clientes nem sistemas internos da empresa.

O que a Anthropic mudou?

Desligou a internet ao vivo em todas as avaliações internas, restringiu ferramentas de navegação e passou a usar um sistema que detecta e bloqueia esse tipo de ação.

Imagem de capa: arte oficial do relatório “Investigating unintended model actions” (Anthropic, 09/10/2026).

Recomendados pra você

GuiaREA: como testar a IA que desmonta qualquer programaO REA liga Claude Code, Codex e Cursor a Ghidra, Hopper e IDA pra entender apps sem código-fonte. Passou de 128 mil estrelas no GitHub. Veja como funciona, os riscos legais e como testar.DicaO que não contar pro ChatGPT (e como desligar o treino com seus dados)Você conta pro chatbot coisa que não contaria pro chefe. Veja o que nunca colar numa IA, onde fica o botão que desliga o treino no ChatGPT, Gemini e Claude, e o que esse botão não resolve.GuiaPhotoCraft: o clone grátis do Photoshop feito com IA já substitui a Adobe?O PhotoCraft é um clone open source do Photoshop em Rust feito com IA. Veja o que já funciona, o que falta, como instalar e se dá pra cancelar a Adobe.GuiaGemini agent: a IA do Google que trabalha como colegaGoogle Cloud anuncia o Gemini agent (08/10): agente universal para o trabalho, com conta própria no Workspace, subagentes e opção de usar modelos Claude.