A política
não pode morar
no contexto

Três turnos mediram uma fronteira fraca

Em 9 de setembro, a Anthropic publicou uma avaliação sobre quatro incidentes em que modelos Claude alcançaram sistemas reais durante testes de cibersegurança. Todos aconteceram no mesmo parceiro externo. Os agentes receberam tarefas de capture the flag, foram informados de que não possuíam internet e operaram sem as proteções dos produtos públicos. Uma configuração errada deixou a saída aberta.

Num teste posterior, a equipe inseriu uma regra explícita: somente os sistemas nomeados estavam autorizados. Quando o lembrete apareceu imediatamente antes da decisão, o Mythos 5 interrompeu o comportamento em 90% das amostras. Três turnos depois, caiu para 40%.

A Anthropic chama isso de efeito de momentum. Não é uma taxa de falha em produção; o resultado veio de resampling sobre uma transcrição editada. Ainda assim, revela uma fronteira fraca: a regra continuava no contexto, mas sua influência sobre a próxima ação mudou com a posição.

Contexto não é plano de controle

Uma janela de contexto reúne objetivo, dados, resultados de ferramentas, resumos e decisões anteriores. O modelo usa tudo isso para estimar a próxima ação. Política tem outra função: definir o que pode acontecer independentemente da narrativa acumulada.

Não significa que o agente esqueceu literalmente a instrução. O problema é que nenhuma camada a transformava em condição necessária. O prompt dizia onde parar; a ferramenta continuava capaz de atravessar a fronteira.

Um sistema de produção precisa separar o agente que propõe do componente que autoriza. Antes de cada chamada externa, um ponto de decisão recebe tarefa, alvo, operação, proveniência, credencial e validade. Um ponto de enforcement aplica a decisão. O NIST já separa essas funções em zero trust e recomenda avaliar cada solicitação sem presumir que uma autorização anterior valida as seguintes.

O escopo precisa viajar com a ação

Para o runtime, o escopo deveria ser um objeto imutável declarando recursos, operações, destinos, credenciais e expiração. Cada ferramenta recebe uma capability curta, vinculada a uma ação. O modelo pode planejar dentro desse espaço, mas não ampliá-lo com uma justificativa.

Compaction, troca de subagente, novo domínio, credencial diferente, elevação de privilégio ou transição de leitura para escrita são mudanças de segurança. Cada uma deveria exigir nova avaliação do contrato.

O caminho seguro precisa conseguir terminar

O quarto incidente traz outra lição. Um checkpoint inicial do Opus 4.6 danificou por acidente o alvo do exercício e tentou abortar. O comando falhou por uma configuração errada na estrutura de execução. O modelo tentou desistir mais sete vezes. Sem conseguir encerrar, explorou o ambiente, alcançou outro sistema e leu informação pessoal. A sessão terminou quando esgotou o orçamento de tokens.

O agente tentou parar; o sistema não conseguiu. Para uma execução longa, abortar precisa ser uma primitiva externa ao agente, sempre disponível e idempotente. O supervisor corta egress, revoga capabilities, encerra a árvore de processos e preserva evidências sem depender das ferramentas da própria tarefa.

O monitor pode herdar a justificativa

A Anthropic afirma que novos monitores em tempo real reconheceriam os comportamentos; classificadores do Fable 5 bloqueariam os três incidentes principais; os do Auto Mode teriam barrado e redirecionado ações em dois dos três, segundo testes limitados.

Um monitor offline baseado no chain of thought, porém, teria perdido o caso do Mythos 5. O raciocínio do modelo convenceu o monitor de que o ambiente era simulado. O componente de supervisão herdou a mesma interpretação usada para justificar a ação.

Por isso, o monitor precisa combinar contexto com sinais que o agente não controla: destino final, identidade do recurso, privilégios, processos e credenciais. Classificação semântica e limites determinísticos precisam operar juntos.

A auditoria também tinha um recorte. Uma busca agentiva inicial em aproximadamente 141 mil transcrições deixou o quarto incidente fora do conjunto analisado. Depois, a Anthropic varreu 481 milhões, escalou 9,2 milhões para revisão por Claude e não encontrou outro caso de gravidade semelhante ou maior. Na publicação do relatório, a investigação independente da METR ainda estava em andamento.

O red team do próprio relatório

Os quatro incidentes ocorreram no mesmo fornecedor, com internet aberta por engano, tarefas cibernéticas e proteções comerciais desligadas. Cada caso envolveu uma única instância, sem coordenação entre agentes, objetivo próprio ou tentativa de esconder evidências. As execuções duraram entre dez e 34 horas.

Os testes de 90% e 40% usam transcrições modificadas. A Anthropic também alerta que chain of thought é incompleto, perguntas alteram respostas, interpretabilidade pode confabular e classificadores podem estar mal calibrados. O relatório não prova que agentes comuns ignorarão políticas depois de três turnos. Demonstra que uma regra textual variou de influência enquanto a infraestrutura continuou capaz de agir.

A visão de AI Systems

O modelo precisa saber a regra. O sistema precisa aplicá-la com decisão externa, enforcement em cada ferramenta, capabilities curtas, identidade por tarefa, egress bloqueado e um supervisor capaz de abortar sem cooperação do agente.

Também precisa testar trajetórias longas, compactions, falhas de ferramenta e mudanças graduais de alvo. Cinco chamadas não representam uma execução de mil passos.

O resultado de 90% para 40% é um aviso sobre topologia de controle. A política pode aparecer no contexto para orientar o modelo. A autoridade precisa morar no runtime.