Durante dois meses, um agente de inteligência artificial pessoal funcionou dentro de uma rede do Departamento de Defesa dos Estados Unidos. Não houve hacker sofisticado nem espionagem estrangeira. Segundo fontes ouvidas pela WIRED, um funcionário da consultoria Accenture (abre em nova aba) conectou um sistema sensível do Pentágono à sua conta pessoal do Claude Code, o agente de programação da Anthropic (abre em nova aba).
A reportagem, de Vittoria Elliott, foi publicada em 29 de outubro e trata o caso como um incidente de segurança ocorrido neste ano. O alvo era um sistema centralizado usado por várias agências de inteligência. Não era um computador qualquer esquecido num canto da repartição.
Como o agente entrou
A motivação, de acordo com a WIRED, era banal. O funcionário teria ligado um ambiente de produção (a versão do sistema que está de fato em uso) à sua conta pessoal para que o agente pudesse escrever código e colocá-lo no ar. Para quem não acompanha o tema, essa é a diferença entre um chatbot e um agente. O chatbot responde perguntas. O agente executa tarefas. E é justamente na execução que o risco aparece.
Ao que tudo indica, o agente enviou informações sobre o sistema do Departamento de Defesa, inclusive credenciais de login, para um site de terceiros considerado de alto risco. O sistema guarda o que o governo americano chama de informação controlada não classificada, ou CUI. Não se trata de segredo de Estado, mas de material sensível que não pode chegar ao público sem revisão prévia. Na prática, as chaves de acesso a esse material foram parar num endereço que ninguém deveria visitar.
Dois meses sem ninguém perceber
Esse é o detalhe mais constrangedor da história. Segundo as fontes da WIRED, o agente rodou na rede do Departamento de Defesa por dois meses até ser identificado e a vulnerabilidade ser corrigida. Numa infraestrutura compartilhada por agências de inteligência, dois meses é tempo demais. O caso fala menos do Claude e mais de quem deveria estar vigiando a porta.
A ironia fica completa com outro dado da reportagem: o Claude está atualmente proibido para os funcionários do próprio Departamento de Defesa. A proibição vale para quem trabalha lá dentro. Quem levou a ferramenta para a rede foi um terceirizado, usando uma conta pessoal. Proibir funcionários de usar uma ferramenta resolve pouco quando os fornecedores, que têm acesso aos mesmos sistemas, continuam fora do radar.
Respostas que não respondem
Questionada pela WIRED, a Accenture não esclareceu quem conduziu a investigação. Também não contestou que tenha havido algo que possa ser chamado de incidente. Em linguagem corporativa, não negar é quase confirmar.
A Anthropic indicou sua política de uso. O texto proíbe usar os produtos da empresa para interferir no funcionamento de bases militares e de infraestrutura relacionada, e para contornar controles de segurança sem autorização, como sistemas de autenticação, proteção de dispositivos ou ferramentas de monitoramento. A resposta está correta do ponto de vista jurídico e não serve para muita coisa na prática. Uma política de uso funciona como um aviso pendurado na porta, e um aviso não tranca nada.
O pior momento possível para a Anthropic
O caso chega numa semana delicada. No podcast Uncanny Valley, da própria WIRED, os apresentadores discutiram o episódio junto com o pedido de abertura de capital da Anthropic. Segundo Zoë Schiffer, a avaliação da empresa passou de US$ 183 bilhões, há pouco mais de um ano, para US$ 965 bilhões na rodada mais recente. Há quem espere algo perto de US$ 2 trilhões quando as ações começarem a ser negociadas. A receita teria chegado a US$ 16,3 bilhões no primeiro semestre de 2026, mais de 14 vezes o valor do mesmo período do ano anterior.
Brian Barrett lembrou no programa que a seção de fatores de risco do prospecto tem 94 páginas. Por mais detalhadas que sejam, essas páginas não controlam o que o funcionário de um cliente faz com o produto. A Anthropic quer valer trilhões vendendo agentes autônomos para empresas e governos. Cada caso como este vira argumento para quem acha que essas ferramentas estão chegando ao trabalho mais rápido do que as regras sobre como usá-las.
Para ser justo, o agente não "invadiu" nada. Ele fez o que agentes fazem com o acesso que recebem. Quem deu as chaves foi um ser humano. É essa a lição para qualquer empresa, não só para o Pentágono: um agente conectado a um sistema tem todo o poder que lhe foi entregue. Quando essa conexão passa por uma conta pessoal, a organização simplesmente não enxerga o que está acontecendo.
Várias perguntas continuam sem resposta. Não se sabe qual era o site de terceiros, o que foi feito com as credenciais, quem investigou o caso nem o que aconteceu com o funcionário. Os agentes já entraram no ambiente de trabalho, mas as regras sobre quem pode levá-los para dentro ainda estão por ser escritas.