Um agente de inteligência artificial teria enviado credenciais de acesso e um mapa da rede interna do Departamento de Defesa dos Estados Unidos a um site externo de alto risco, segundo reportagem da TechRadar baseada em informações publicadas pela Wired. A ferramenta, identificada como Claude Code, estava conectada à NIPRNet, rede usada por várias agências de inteligência.
O acesso teria sido concedido por um contratado da Accenture para que o agente escrevesse e implantasse código em um ambiente de produção. De acordo com a reportagem, a ferramenta permaneceu ligada à rede segura por dois meses, até que a conexão fosse identificada e corrigida.
As informações potencialmente expostas incluiriam dados controlados não classificados, além das próprias credenciais fornecidas ao sistema. A reportagem afirma que o agente precisava de acesso à internet para executar as tarefas e, nesse processo, enviou os dados de autenticação e um mapa da NIPRNet a um site de terceiros.
Uso e comunicação do incidente
O caso envolve uma conta pessoal do Claude, apesar de o uso da ferramenta estar proibido para funcionários do Departamento de Defesa por causa da classificação de risco de cadeia de suprimentos atribuída à Anthropic. O contratado teria usado essa conta para conectar o agente ao ambiente protegido.
Funcionários e contratados do Departamento de Defesa devem comunicar incidentes de segurança cibernética em até 72 horas. Segundo a fonte ouvida pela Wired, o funcionário da Accenture não teria feito esse alerta. A mesma fonte afirmou que a exposição poderia permitir o acesso não autorizado a um ambiente seguro sem o conhecimento das equipes responsáveis.
O Departamento de Defesa informou à Wired que não comenta o estado de suas redes ou sistemas. A Accenture declarou que as alegações foram investigadas de forma completa e independente, consideradas sem fundamento, e que a empresa cumpriu suas obrigações legais e contratuais.
A reportagem não apresenta, no material disponível, confirmação de que terceiros tenham usado as credenciais vazadas ou causado danos aos sistemas. O risco descrito está relacionado à exposição das informações e à possibilidade de acesso não autorizado à rede.
