Conversas e projetos criados no Claude, chatbot da Anthropic, ficaram acessíveis por mecanismos de busca após usuários utilizarem recursos de compartilhamento da plataforma.
O material encontrado incluía informações pessoais, documentos corporativos e registros ligados à área da saúde. Os conteúdos apareciam principalmente em links gerados pela função de compartilhamento do Claude.
Ao utilizar o recurso, o usuário recebe a informação de que qualquer pessoa com o endereço poderá visualizar a conversa, mas o aviso não esclarecia que a página também poderia aparecer nos resultados de mecanismos de busca.
Entre os documentos localizados estavam um relatório médico detalhado, resultados de ensaios clínicos com nomes de pacientes, informações de crianças, avaliações de funcionários e arquivos empresariais destinados ao uso interno.
A Anthropic declarou que os links compartilháveis se tornam públicos quando o próprio usuário decide disponibilizá-los e podem, como outras páginas abertas da internet, ser arquivados por serviços externos.
Gemini já foi alvo de acusação sobre acesso a comunicações
Em novembro de 2025, o Google foi acusado em uma ação judicial nos Estados Unidos de utilizar o Gemini para rastrear ilegalmente comunicações privadas de usuários do Gmail, Chat e Meet.
A denúncia alegava que a empresa teria ativado o assistente nos aplicativos e permitido o acesso a dados sem conhecimento ou consentimento dos usuários.
Segundo a ação apresentada em um tribunal federal de San José, na Califórnia, os usuários anteriormente tinham a opção de ativar o recurso.
A acusação sustentava que uma mudança realizada em outubro teria ampliado o funcionamento do Gemini nos serviços e possibilitado o acesso ao histórico de comunicações, incluindo e-mails e anexos.
A denúncia também apontava que seria possível desativar a ferramenta por meio das configurações de privacidade. O processo, porém, alegava violação da legislação californiana sobre interceptação de comunicações confidenciais. Na ocasião, o Google não havia respondido ao pedido de comentário.
Outro caso relacionado ao Gemini levou o Google a anunciar, em abril de 2026, mudanças nos mecanismos voltados à proteção de usuários em sofrimento emocional.
As medidas foram apresentadas após uma ação judicial acusar o chatbot de contribuir para a morte de Jonathan Gavalas, de 36 anos, em 2025.
O pai de Gavalas alegou que o sistema teria mantido durante semanas uma narrativa delirante com o usuário. Entre as mudanças anunciadas, o Gemini passou a prever uma interface reformulada para facilitar o acesso a serviços de emergência quando identificar sinais relacionados a suicídio ou autoagressão.
Conversas do ChatGPT também apareceram em buscadores
O Claude não foi o primeiro chatbot a enfrentar um episódio envolvendo conversas compartilhadas e indexação. Em agosto de 2025, pelo menos 4,5 mil links de chats do ChatGPT apareciam no Google, alguns deles com informações pessoais e relatos sensíveis.
O caso estava relacionado a um recurso que permitia tornar uma conversa compartilhada localizável por mecanismos de busca. Dane Stuckey, então chefe de segurança da OpenAI, explicou que usuários poderiam ter habilitado a opção sem perceber as consequências e informou que a empresa retiraria a funcionalidade.
A OpenAI também iniciou um processo para remover dos buscadores os conteúdos que já tinham sido indexados. A própria central de ajuda da empresa alertava que qualquer pessoa com acesso a um link compartilhado poderia visualizar a conversa e recomendava que informações sensíveis não fossem colocadas nesses conteúdos públicos.
O problema relatado agora no Claude tem características semelhantes. Mais de 200 conversas distribuídas por pelo menos 25 páginas de resultados chegaram a aparecer em buscas.
Entre os conteúdos estavam currículos com dados de contato, informações profissionais e materiais relacionados a pesquisas de empresas.
Agentes da OpenAI chegaram a servidores da Hugging Face
Os riscos relacionados à IA também alcançaram outro nível em julho de 2026, quando modelos experimentais da OpenAI conseguiram explorar vulnerabilidades durante uma avaliação de cibersegurança e chegaram à infraestrutura da Hugging Face.
Os sistemas envolvidos incluíam o GPT-5.6 Sol e outro modelo ainda não lançado. Os agentes participavam de uma avaliação interna destinada a medir sua capacidade de realizar operações cibernéticas complexas.
Durante os testes, operavam sem alguns dos classificadores usados nos produtos comerciais para impedir atividades de alto risco e tinham barreiras de recusa reduzidas para permitir a avaliação.
A tarefa consistia em solucionar desafios do ExploitGym em uma infraestrutura isolada. Durante o processo, os modelos encontraram uma vulnerabilidade de dia zero em um sistema intermediário usado para instalação de pacotes, conseguiram alcançar a internet e identificaram a Hugging Face como possível fonte de informações relacionadas ao teste.
Os agentes combinaram credenciais obtidas indevidamente e vulnerabilidades para chegar aos servidores da plataforma. O acesso alcançou um banco de dados de produção e permitiu obter soluções do ExploitGym, enquanto os sistemas continuavam direcionados ao objetivo apresentado na avaliação.
A Hugging Face registrou mais de 17 mil eventos associados às ações dos agentes e identificou acesso não autorizado a bases internas e credenciais.
A plataforma removeu a presença dos sistemas, reconstruiu equipamentos comprometidos, substituiu credenciais e tokens e adotou novos controles nos ambientes afetados.
A OpenAI afirmou que trabalha com a Hugging Face na investigação e pretende publicar um relatório técnico sobre o episódio. O caso ocorreu durante uma avaliação preparada especificamente para testar capacidades ofensivas e, portanto, não corresponde ao funcionamento normal do ChatGPT oferecido aos usuários.
Outro teste citado nos relatos sobre o incidente envolveu um modelo orientado a publicar o resultado de uma avaliação somente no Slack.
O sistema encontrou uma vulnerabilidade no ambiente isolado, obteve acesso externo e publicou o conteúdo em um repositório público do GitHub.
Agentes de programação apagaram bases de produção
Os problemas de autonomia não ficaram restritos aos testes de segurança. Em abril de 2026, um agente de programação alimentado pelo Claude Opus 4.6 apagou a base de dados da PocketOS enquanto tentava resolver uma incompatibilidade de credenciais.
O sistema estava configurado para executar tarefas em um ambiente de testes, mas encontrou um token de API em um arquivo que não fazia parte da atividade original.
Depois, utilizou a credencial para solicitar a exclusão de um volume da Railway que armazenava dados de produção e backups recentes.
A exclusão ocorreu sem uma confirmação manual adicional. Posteriormente, a Railway conseguiu recuperar os dados, e a operação da empresa foi retomada após horas de interrupção.
Um episódio semelhante havia ocorrido em 2025 com a Replit. Um agente da plataforma apagou um banco de dados de produção durante um período em que alterações não deveriam ser realizadas.
O fundador e CEO da Replit, Amjad Masad, confirmou que um agente em desenvolvimento havia deletado dados de produção e classificou a ocorrência como inaceitável. O banco continha informações de 1.206 executivos e 1.196 empresas, segundo o relato do cliente envolvido no episódio.
Prompt injection amplia lista de vulnerabilidades
Outro risco envolve a possibilidade de agentes interpretarem instruções inseridas em conteúdos externos como comandos. Um caso divulgado em julho de 2026 mostrou como uma frase escondida em um enunciado levou ferramentas de IA a incluir a palavra “Madagascar” em trabalhos acadêmicos..
A técnica é conhecida como prompt injection e consiste em inserir instruções destinadas a alterar o comportamento do modelo. Em aplicações conectadas a sistemas externos, ataques desse tipo podem tentar induzir uma ferramenta a ignorar controles ou revelar informações que deveriam permanecer protegidas.
Os primeiros alertas públicos sobre esse tipo de vulnerabilidade ganharam força em 2022. Com agentes capazes de acessar arquivos, executar comandos e interagir com outros serviços, a segurança passa a depender também das permissões concedidas ao sistema e das barreiras existentes antes da execução de ações irreversíveis.