Funcionário da Accenture teria dado a agente Claude Code acesso administrativo a sistemas do Pentágono

Uma investigação publicada pela revista WIRED afirma que um funcionário da consultoria Accenture conectou sua conta pessoal do Claude Code a um sistema de produção do Departamento de Defesa dos Estados Unidos.

Segundo fontes ouvidas pela publicação, o agente permaneceu ativo durante aproximadamente dois meses em um ambiente utilizado por diferentes agências de inteligência. O sistema operava na NIPRNet, rede do Departamento de Defesa destinada a informações não classificadas, mas que também contém dados sensíveis sujeitos a controles específicos.

O funcionário teria fornecido suas credenciais ao agente para automatizar tarefas de desenvolvimento, como escrever código, registrar alterações e provisionar servidores em nuvem. Com essas permissões, o Claude Code teria conseguido realizar operações administrativas sem passar por todas as verificações normalmente exigidas durante o acesso humano.

A investigação afirma ainda que o agente aparentemente enviou credenciais, senhas e um mapa da rede NIPRNet para um site externo considerado de alto risco. A WIRED não revelou o endereço do serviço, mas informou que ele já havia sido identificado pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, o NIST, como vulnerável a técnicas capazes de manipular agentes de IA.

Os dados envolvidos pertenciam a um ambiente com informações classificadas como Controlled Unclassified Information (CUI). Essa categoria não corresponde a documentos secretos, mas exige proteção contra divulgação indevida. Não há evidências apresentadas pela reportagem de que sistemas classificados tenham sido acessados.

A Accenture contesta as acusações. A empresa declarou que as alegações foram investigadas de maneira independente e consideradas sem fundamento, acrescentando que cumpriu suas obrigações legais e contratuais. O Pentágono preferiu não comentar a situação de suas redes. A Anthropic direcionou a publicação à sua política de utilização, que proíbe determinadas formas de interferência em sistemas militares e a evasão não autorizada de controles de segurança.

A reportagem também afirma que a empresa não teria comunicado inicialmente o incidente ao governo dentro do prazo de 72 horas exigido para determinadas ocorrências. Essa alegação igualmente não foi confirmada por uma investigação pública independente.

O caso permanece baseado em relatos de fontes anônimas e é contestado pela Accenture.

Fonte: WIRED