Alguém usou o Claude para invadir a serviços do governo mexicano.

O ataque, que perdurou por quase um mês, resultou no roubo de um grande volume de informações sobre contribuintes e eleitores do país, apurou a firma de cibersegurança israelense, Gambit Security.

De acordo com a apuração, o usuário não identificado convenceu a IA a agir como um hacker de elite , solicitando que buscasse vulnerabilidades, escrevesse scripts para explorá-las e automatizasse o roubo de informações.

Os prompts utilizados na conversa foram redigidos em espanhol.

O invasor teria acessado a base de dados da autoridade tributária do México e também do instituto nacional eleitoral.

Entre os 150 GB de dados exfiltrados, estariam documentos vinculados a 195 milhões registros de contribuintes, registros de eleitores, credenciais de funcionários públicos e arquivos de registro civil.

Até o momento, a Gambit Security não atribuiu o ataque a nenhum grupo hacker específico e afirma não haver indícios de envolvimento de um governo estrangeiro.

Segundo a investigação, o atacante afirmou ao Claude que participava de um programa de bug bounty — iniciativa em que empresas recompensam profissionais por identificar falhas de segurança.

Com isso, pediu que o chatbot conduzisse testes de penetração contra a autoridade tributária mexicana, prática que pode ser legítima quando autorizada.

Em determinado momento, o modelo interrompeu a atividade ao receber instruções consideradas suspeitas .

“Instruções específicas sobre como excluir registros e ocultar o histórico são sinais de alerta”, respondeu o Claude durante a conversa.