Parte III - Alguém vai fazer

Por Jeff

ZERO é uma série documental publicada em capítulos entre dezembro de 2025 e agosto de 2026, sobre autonomia de inteligência artificial, cibersegurança e infraestrutura Bitcoin. Cada capítulo funciona sozinho, mas o argumento completo só se revela ao final da série.

Chegou agora? Comece pela Parte I - Mãos Livres

Parte 3 — Alguém vai fazer

Washington, D.C., Estados Unidos, sexta-feira, 27 de fevereiro de 2026, cinco da tarde. É a hora em que o noticiário político americano historicamente esvazia notícias ruins, tarde o suficiente para escapar do horário nobre da televisão, sexta-feira o suficiente para se perder no fim de semana antes que qualquer analista tenha tempo de reagir com profundidade. Foi nesse horário exato, não por acidente, que o prazo dado pelo governo americano à Anthropic expirou.

Era o prazo que o governo americano havia dado à Anthropic para aceitar os termos do Pentágono, agora operando também sob a designação de Departamento de Guerra, numa mudança de nome formalizada meses antes por ordem executiva. O prazo expirou sem acordo. Horas antes, o presidente Donald Trump havia ordenado que todas as agências federais interrompessem o uso da tecnologia da empresa. Pete Hegseth, Secretário de Guerra, publicou em seguida uma declaração designando a Anthropic como risco à cadeia de suprimentos de segurança nacional, um rótulo historicamente reservado a adversários estrangeiros como a Huawei. America’s warfighters will never be held hostage, escreveu, numa frase que misturava política de defesa com liturgia de campanha. Esta decisão é final.

O que estava em disputa não era o uso de inteligência artificial pelas Forças Armadas americanas em si. Era duas exceções específicas que a Anthropic havia se recusado a abrir mão em meses de negociação, o uso de sua tecnologia em sistemas de armas totalmente autônomos capazes de decidir sozinhos quem morre num campo de batalha, e o uso da mesma tecnologia para vigilância doméstica em massa contra cidadãos americanos. A empresa declarou publicamente que essas exceções nunca haviam impedido uma única missão governamental legítima até aquele momento. Hegseth ofereceu à Anthropic até seis meses de transição para que o Pentágono migrasse para outro fornecedor. Não precisou de seis meses. Precisou de horas.

Ainda na noite daquela sexta-feira, a OpenAI anunciou ter fechado acordo com o Pentágono para uso de suas ferramentas em redes classificadas. A velocidade da substituição é o dado mais revelador da cena inteira, mas a integridade factual exige uma ressalva que o gesto dramático por si só não entrega. A OpenAI não aceitou lisa e llanamente o que a Anthropic havia recusado. Segundo o próprio anúncio da empresa, o contrato incluía salvaguardas contratuais semelhantes às que a Anthropic defendia, proibição de vigilância doméstica em massa e exigência de responsabilidade humana no uso de força letal por sistemas autônomos. A diferença entre as duas empresas não foi, portanto, o conteúdo do princípio, mas a disposição de negociá-lo sob pressão pública direta de um presidente e a velocidade com que uma delas cedeu o espaço que a outra recusou ocupar.

Um governo não substitui um fornecedor estratégico da noite para o dia a menos que a fila de candidatos já estivesse formada, esperando que o primeiro da fila hesitasse. A hesitação da Anthropic não criou um vácuo de poder. Revelou que o vácuo já existia. Três meses antes, em 26 de novembro de 2025, o Comitê de Segurança Interna da Câmara dos Representantes já havia enviado uma carta formal a Dario Amodei, executivo-chefe da Anthropic, exigindo que ele testemunhasse sobre como agentes ligados a um governo estrangeiro haviam manipulado a própria tecnologia da empresa para fins de espionagem, um sinal de que a relação entre Washington e a Anthropic já vinha se deteriorando bem antes de o ultimato de fevereiro se tornar público.

Dois meses depois do ultimato, em abril de 2026, a mesma Anthropic tomou uma decisão que parece contraditória à primeira vista, mas pertence exatamente à mesma lógica interna. A empresa decidiu não lançar publicamente seu modelo mais avançado, batizado internamente de Claude Mythos Preview, citando a capacidade do sistema de identificar e explorar sozinho vulnerabilidades de dia zero em praticamente todos os sistemas operacionais e navegadores relevantes do mercado.

O acesso foi restrito, num primeiro momento, a um consórcio batizado de Projeto Glasswing, reunindo empresas responsáveis por manter infraestrutura crítica global, entre elas Amazon Web Services, Apple, Google, JPMorganChase, Microsoft e Nvidia. Em junho, ampliou-se para mais cento e cinquenta organizações em quinze países. O Instituto de Segurança em IA do Reino Unido, testando o modelo de forma independente, descobriu que ele resolvia desafios de captura de bandeira em nível especializado em setenta e três por cento das tentativas, e foi o primeiro sistema a completar, do início ao fim, uma simulação de intrusão de rede em trinta e dois passos consecutivos.

Uma empresa que recusa entregar sua tecnologia ao próprio governo por considerá-la perigosa demais, e que meses depois considera essa mesma tecnologia perigosa demais para lançar ao público em geral, não está exagerando cautela por reflexo corporativo. Está descrevendo, com dois gestos consecutivos, a mesma fronteira vista de dois ângulos diferentes.

O episódio expõe também uma reconfiguração de poder que nenhum dos dois lados descreve em público nesses termos. Por décadas, empresas de tecnologia trataram contratos com o Pentágono como prêmios a serem disputados, não como riscos a serem administrados com a mesma cautela reservada a produtos de consumo. A inversão de fevereiro de 2026, uma empresa recusando ativamente o maior comprador de tecnologia do planeta por razões de princípio, e sendo imediatamente substituída por um concorrente dentro do mesmo dia, sinaliza que o poder de barganha migrou. Não é mais o fornecedor implorando pelo contrato. É o governo implorando pela capacidade, disposto a negociar salvaguardas com quem quer que esteja disposto a assinar primeiro.

Essa fronteira já havia sido cruzada antes, embora o mundo só tenha sabido depois, e o episódio que a revelou é mais detalhado do que a versão resumida que circulou na imprensa. Em meados de setembro de 2025, a Anthropic detectou atividade suspeita que uma investigação posterior determinou ser uma campanha de espionagem altamente sofisticada. O grupo, batizado internamente de GTG-1002 e identificado com alta confiança como patrocinado pelo governo chinês, tentou se infiltrar em aproximadamente trinta organizações ao redor do mundo, entre grandes empresas de tecnologia, instituições financeiras, fabricantes químicos e agências governamentais, obtendo sucesso num pequeno número de casos. Para contornar as salvaguardas do próprio Claude Code, os atacantes fragmentaram o ataque inteiro em milhares de tarefas técnicas aparentemente inócuas, cada solicitação individual parecendo legítima o suficiente para não acionar nenhum mecanismo de recusa, enquanto a soma de todas elas compunha uma cadeia completa de reconhecimento de rede, descoberta de vulnerabilidades e exfiltração de dados.

A Anthropic estimou que a inteligência artificial executou entre oitenta e noventa por cento da operação inteira sem orientação humana direta, com operadores humanos intervindo apenas em pontos estratégicos específicos, aprovando etapas e redirecionando o agente quando necessário, não conduzindo o ataque passo a passo como um hacker tradicional faria. A empresa levou dez dias para mapear a extensão completa da operação, banindo contas à medida que eram identificadas e notificando as organizações afetadas. Era, segundo a própria Anthropic, o primeiro caso documentado de um ciberataque em grande escala executado sem envolvimento humano substancial, e viria a se repetir, em formato distinto, dentro do próprio ecossistema de avaliação de segurança do Reino Unido menos de um ano depois.

Nenhuma dessas capacidades, porém, permaneceu restrita a governos por muito tempo. Uma ogiva nuclear exige urânio enriquecido, centrífugas, engenharia de precisão e décadas de investimento estatal concentrado. Um agente autônomo de ransomware exige apenas acesso a um modelo de linguagem e uma vulnerabilidade sem correção. Em julho de 2026, a empresa de segurança em nuvem Sysdig documentou o primeiro caso confirmado de uma operação de ransomware conduzida do início ao fim por um agente de inteligência artificial, sem nenhum operador humano dirigindo qualquer etapa individual depois do acesso inicial. A operação, batizada de JadePuffer, explorou uma falha de execução remota de código sem autenticação, catalogada como CVE-2025-3248, numa ferramenta popular de código aberto para construção de aplicações de IA chamada Langflow, uma falha que já constava havia mais de um ano no catálogo de vulnerabilidades exploradas conhecidas mantido pelo governo americano, e que permanecia sem correção no servidor atacado.

A partir do acesso inicial, o agente se moveu inteiramente sozinho, segundo o relatório publicado pela Sysdig, instalando persistência através de tarefas agendadas, escalando privilégios, sondando métodos de fuga de contêiner, e adaptando-se a obstáculos em tempo real, um dos registros mostra o sistema passando de um login fracassado para uma correção funcional em trinta e um segundos, até finalmente criptografar mais de mil trezentos e quarenta e dois itens de configuração e emitir sozinha a nota de resgate. Vale uma ressalva de precisão: o enquadramento de autonomia total é a versão da própria Sysdig, e analistas de segurança independentes questionaram publicamente se o grau de intervenção humana foi de fato zero em toda a operação, ou apenas na maior parte dela. Nenhuma das duas versões muda o dado central, a barreira técnica para conduzir um ataque desse tipo havia caído a um patamar que nenhum tratado internacional havia sido desenhado para regular. Investigadores que analisaram os registros do incidente encontraram, entre os dados coletados durante a fase de reconhecimento, chaves de acesso a múltiplos provedores de inteligência artificial pertencentes à vítima, não ao atacante, um lembrete de que a mesma infraestrutura de IA que hoje sustenta empresas inteiras também se torna, no momento em que é comprometida, mais um ativo a ser saqueado.

Vale notar a diferença de escala de recurso entre os dois episódios, a campanha estatal e o ransomware autônomo, porque ela é o próprio argumento sobre proliferação, não uma nota de rodapé. A campanha GTG-1002 exigiu meses de preparação por um grupo estatal com recursos suficientes para desenvolver um framework inteiro de integração entre Claude Code e ferramentas convencionais de reconhecimento de rede, e ainda assim precisou de operadores humanos supervisionando pontos estratégicos da operação. O JadePuffer não exigiu nada disso. Exigiu um servidor mal configurado, uma vulnerabilidade pública catalogada havia mais de um ano e um agente configurado uma única vez. A distância entre os dois não é de sofisticação técnica, é de custo de entrada, e é exatamente essa distância que colapsou entre setembro de 2025 e julho de 2026.

Não havia Estado nenhum por trás do JadePuffer. Não precisava haver.

Há uma última peça nesse quebra-cabeça que raramente aparece nas coberturas mais rápidas do episódio GTG-1002, e que merece registro aqui. Não era a primeira vez que a Anthropic detectava uso malicioso de sua própria tecnologia. Quatro meses antes, em julho de 2025, a empresa já havia interrompido outra operação que utilizava Claude para roubo e extorsão de dados pessoais em larga escala, um episódio que recebeu bem menos atenção pública, mas que já sinalizava, para quem prestasse atenção, que a barreira de entrada para operações cibernéticas sofisticadas vinha caindo continuamente havia pelo menos um ano antes de o Pentágono e o JadePuffer tornarem o problema impossível de ignorar.

O que a Anthropic recusou entregar ao Pentágono em fevereiro, sob pressão direta da Casa Branca, e o que a mesma empresa considerou perigoso demais para o público em abril, já circulava, em versão mais rudimentar mas plenamente funcional, nas mãos de quem quer que tenha configurado o JadePuffer três meses depois. Nenhum tratado de não proliferação foi escrito para esse tipo de arma, porque nenhum tratado anterior precisou lidar com uma arma que se copia sozinha.

Leia agora a Parte IV - Zero

Conheça nossos parceiros:

🏦 PIXGO — Tudo que você precisa para vender e receber via PIX sem conta bancária. Infraestrutura completa para qualquer tamanho de negócio.

💸 SATS CASHBACK — Transforme suas compras em Bitcoin. Navegue pelas +500 lojas parceiras e clique na que você quer comprar.

🇵🇾 MOSHE INTERNACIONAL — Assessoria em Internacionalização, Planejamento Tributário, Holding, Offshore e Visto para o Paraguai.

Referências Parte 3

O ultimato do Departamento de Guerra à Anthropic, o prazo de 27 de fevereiro de 2026, a designação de risco à cadeia de suprimentos e a declaração de Pete Hegseth estão documentados no comunicado oficial da própria Anthropic, "Statement on the comments from Secretary of War Pete Hegseth" (27 de fevereiro de 2026), e confirmados em Selina Wang, ABC News (27 de fevereiro de 2026). O acordo entre a OpenAI e o Pentágono está em reportagem da CNN (27 de fevereiro de 2026) e Al Jazeera (28 de fevereiro de 2026). A carta do Comitê de Segurança Interna da Câmara solicitando o testemunho de Dario Amodei data de 26 de novembro de 2025. A decisão da Anthropic sobre o Claude Mythos Preview e a estrutura do Projeto Glasswing estão em Raluca Csernatoni e Patryk Pawlak, "When AI Agents Attack: Autonomous Cyber Operations and Europe's Governance Gap", Carnegie Endowment for International Peace (6 de julho de 2026). O incidente GTG-1002 de setembro de 2025, os cerca de trinta alvos e a estimativa de oitenta a noventa por cento de execução autônoma, está documentado no relatório oficial da Anthropic, "Disrupting the first reported AI-orchestrated cyber espionage campaign" (13 e 14 de novembro de 2025), com corroboração em Cybersecurity Dive e The Hacker News (14 e 15 de novembro de 2025). Os detalhes técnicos da operação JadePuffer, incluindo a vulnerabilidade CVE-2025-3248 no Langflow, estão em Bill Toulas, BleepingComputer (julho de 2026), com corroboração em Pierluigi Paganini, Security Affairs (3 de julho de 2026); o questionamento da alegação de autonomia total está em reportagem do Tech Insider (agosto de 2026). O caso dos três modelos Claude, Opus 4.7, Mythos 5 e um modelo de pesquisa interno, incluindo a cronologia entre 23 e 30 de julho de 2026 e o incidente do pacote malicioso no repositório PyPI, está no comunicado oficial da Anthropic (30 de julho de 2026), com corroboração em Axios, Nextgov/FCW, Forbes e TechTimes (30 e 31 de julho de 2026)

.