120 mil caracteres expostos! O system prompt do Claude Fable 5 vazou — quantas camadas restam à segurança da IA?
O caso do Claude Fable 5 parece, quanto mais se olha, um episódio de nudez pública da indústria de segurança de IA.
Segundo diversos veículos de segurança em língua chinesa e plataformas agregadoras, o Claude Fable 5 — modelo da linha Mythos aberto ao público pela Anthropic — teria sido forçado por um jailbreak multiagente coordenado pelo atacante elder_plinius, com o system prompt interno completo compilado e enviado ao GitHub, num total de cerca de 120.000 caracteres.
O pior é que o conteúdo vazado não seria uma simples configuração de persona, mas sim a lógica central de controle de segurança, classificação de riscos, limites de recusa, chamadas de ferramentas e roteamento de políticas. Em outras palavras, se as reportações procederem, é como se o manual do painel de controle de segurança de um modelo de IA de ponta tivesse sido afixado na rua.
Deixando claro de antemão: este artigo não reproduz, extrai nem ensina a usar o prompt vazado. Falamos apenas sobre por que o caso é grave e o que ele significa para a segurança da IA.
Primeiro, vamos organizar a linha do tempo
O Claude Fable 5 é o novo modelo lançado pela Anthropic no início de junho, visto de fora como a versão pública e segura do Mythos 5. Nas reportagens públicas, o Fable 5 é descrito como um novo Claude voltado a raciocínio complexo, tarefas de longo prazo e fluxos de trabalho profissionais.
Mas, desde o lançamento, as controvérsias não pararam.
A primeira onda foi o limiar de segurança alto demais. Reportagens apontaram que, por cautela de segurança, o Fable 5 chegava a recusar respostas a perguntas básicas de biologia. Ou seja, não era falta de capacidade, mas amarração rígida pelas políticas de segurança.
A segunda onda foi o duplo padrão da Microsoft. De um lado, integrou o Fable 5 a serviços voltados a clientes; de outro, restringiu o uso interno pelos funcionários — segundo se apurou, por preocupações com segurança de dados e riscos das saídas do modelo.
A terceira onda, a mais explosiva e a de agora: um atacante alegou ter obtido cerca de 120 mil caracteres do system prompt por meio de um jailbreak multiagente coordenado, e os enviou ao GitHub.
O que se vê até agora na página oficial de notícias da Anthropic: o governo dos EUA emitiu uma diretriz de controle de exportação suspendendo todo o acesso ao Fable 5 e ao Mythos 5. Quanto ao vazamento do prompt, a empresa ainda não deu confirmação completa.
Por que esse ataque assusta: não foi uma explosão pontual, foi tática de matilha
O jailbreak tradicional costuma depender de um prompt mágico: induzir o modelo a ignorar regras, interpretar um papel, dividir tarefas, contornar recusas.
Mas, nas reportagens desta vez, uma expressão se repete: tática de matilha.
Ou seja: o atacante não avança com um único prompt, mas implanta múltiplos agentes operando em conjunto:
- um agente sonda as fronteiras do modelo
- um agente gera variantes de perguntas
- um agente avalia se as respostas vazam informações sobre a estrutura
- um agente junta os fragmentos de saída num documento completo
- um agente ajusta continuamente a estratégia de ataque
Assim, o joguinho de prompts se transforma num sistema automatizado de equipe vermelha (red team).
Um atacante humano cansa depois de 100 tentativas; um sistema de ataque com IA pode tentar 100 mil vezes e, ainda por cima, se otimizar a cada retorno. Quanto mais fortes os modelos de ponta, mais perigoso é usá-los como orquestrador de ataques.
É também esse o ponto que mais merece vigilância: quem está quebrando os sistemas de segurança da IA está se tornando a própria IA.
Quão grave é, de fato, o vazamento de um system prompt
Muita gente vai perguntar: não é só um prompt? Que diferença faz vazar?
Esse é um mal-entendido sobre os sistemas modernos de grandes modelos. O system prompt de hoje já não é uma frase do tipo “você é um assistente prestativo”. É mais um manual de políticas de execução em tempo real, que pode conter:
- identidade do modelo e estilo de interação
- critérios de identificação de conteúdo de alto risco
- hierarquia de classificação de segurança
- modelos de recusa para diferentes cenários de risco
- limites de chamada de ferramentas
- estratégias de tratamento de áreas sensíveis como código, segurança da rede, biologia e química
- quando migrar para respostas mais seguras
- quando recusar completamente
- quando permitir explicações de alto nível
Tudo isso se tornando público, o atacante deixa de chutar no escuro.
Antes, atacar um modelo era como arrombar uma fechadura no escuro: sem conhecer o mecanismo, só restava tentar e errar. Com o system prompt vazado, é como se tivesse em mãos a planta da fechadura. O atacante pode desenhar contornos para cada regra e buscar de propósito as frestas das fronteiras.
É por isso que o vazamento de prompt não é “questão de imagem”, mas um incidente de segurança de verdade.
O que significam 120 mil caracteres
120 mil caracteres equivalem, em linhas gerais, a uma novela média ou a dezenas de páginas de documentos de políticas de segurança.
Se essa escala proceder, significa que o controle de segurança do Fable 5 não é um punhado de regras simples, mas um sistema completo e complexo de políticas. É muito provável que os diferentes domínios de risco estejam divididos em ramos de granulação fina: segurança da rede, biossegurança, química, manipulação psicológica, fraudes financeiras, vazamento de privacidade, direitos autorais, temas politicamente sensíveis, proteção de menores, conselhos médicos, entre outros.
Há dois contrastes nisso.
Primeiro: a engenharia de segurança da Anthropic é de fato muito detalhista — detalhista a ponto de quase todas as fronteiras terem definição clara, o que explica o Fable 5 ter estreado “seguro demais”.
Segundo: quanto mais finas as regras, mais claro fica o mapa de ataque depois de um vazamento. O atacante consegue ver quais categorias disparam recusas, quais formas de expressão passam e onde ficam as zonas cinzentas.
Quanto mais complexa a política de segurança, mais ela se parece com um grande sistema de software. E sistema de software tem bugs; o sistema de prompts também tem falhas lógicas.
Não é a primeira vez: a segurança da IA entra na era dos vazamentos
Nos últimos dois anos, incidentes assim se multiplicaram no mundo da IA.
Houve quem vazasse o código-fonte do Claude Code, quem extraísse o system prompt de agentes comerciais, quem obtivesse prompts ocultos por meio de extensões de navegador, quem fizesse modelos se interrogarem entre si para arrancar as regras do sistema.
A razão é simples: os ativos centrais dos produtos de grandes modelos estão migrando cada vez mais do código tradicional para prompts, orquestração de ferramentas, roteamento de políticas, sistemas de memória e regras de segurança.
Antes, as empresas temiam o vazamento do código-fonte.
Agora, as empresas de IA também precisam temer:
- vazamento do system prompt
- vazamento do schema das ferramentas
- vazamento das políticas de segurança (safety policy)
- vazamento dos conjuntos internos de avaliação
- vazamento dos fluxos de trabalho dos agentes
- vazamento de memórias e preferências dos usuários
Nem tudo isso é código no sentido tradicional, mas tudo define o comportamento do produto. São o novo código-fonte da era.
O impacto para os clientes corporativos
Se você é apenas um usuário comum, tudo isso é no máximo uma grande fofoca.
Mas, se você é responsável pela segurança de uma empresa, a história muda.
As empresas estão ligando grandes modelos ao atendimento, à auditoria de código, à análise de dados, à automação de escritório, às bases de conhecimento internas, aos processos financeiros e até aos centros de operações de segurança. O modelo deixa de ser um chatbot e passa a ser um operador com permissões de ferramentas.
Uma vez expostos o system prompt e as fronteiras das ferramentas, o atacante pode construir entradas com muito mais precisão, induzindo o modelo a usar ferramentas de forma indevida, vazar informações, contornar aprovações e executar ações erradas.
O cenário de agentes é o mais perigoso de todos. Porque o agente não apenas responde: ele manipula arquivos, chama APIs, envia mensagens, consulta bancos de dados e executa comandos. Com o system prompt vazado, o atacante conhece a lógica de decomposição de tarefas e de recusas, e pode desenhar cadeias de ataque sob medida para as fraquezas dele.
Por isso, as empresas não podem mais tratar o system prompt como “texto interno”. Ele deve entrar na gestão de ativos de segurança.
Como as empresas devem se defender
Primeiro: não coloque toda a segurança nas costas do system prompt.
O prompt pode restringir o modelo, mas não serve como única linha de defesa. A segurança real deve descer para as permissões de ferramentas, o gateway de API, a camada de acesso a dados, os logs de auditoria e as aprovações humanas.
Segundo: minimize as permissões das ferramentas.
O que o agente pode ler, escrever, apagar e para quem pode enviar deve ter autorização explícita. Não dê permissão de administrador global a um modelo só porque ele “parece inteligente”.
Terceiro: estratifique o system prompt.
Não coloque todas as políticas num único prompt gigante. Separe em camadas de identidade, tarefa, ferramentas, segurança e auditoria, carregadas dinamicamente conforme o cenário. Assim, mesmo que uma camada vaze, o atacante não obtém o plano de controle completo.
Quarto: introduza detecção no lado da saída.
Não detecte apenas a entrada do usuário. A saída do modelo também precisa passar por identificação de informações sensíveis, detecção de ações fora de permissão e bloqueio de instruções perigosas.
Quinto: automatize o red team.
Se os atacantes usam táticas de matilha multiagente, os defensores também devem usar equipes vermelhas multiagente. Periodicamente, faça um grupo de modelos atacar outro, gere amostras de teste automaticamente e atualize as defesas continuamente.
Por que não recomendo divulgar o texto original
Certamente haverá quem diga na internet: “manda o link do GitHub, deixa eu ver logo”.
Não recomendo.
Primeiro: o texto original pode conter detalhes diretamente úteis para contornar políticas de segurança. Divulgá-lo equivale a ajudar mais gente a replicar o ataque.
Segundo: a autenticidade do material não foi confirmada oficialmente, e a redifusão acaba tratando conteúdo incompleto ou contaminado como se fosse fato.
Terceiro: para pesquisadores, o que realmente vale estudar são os pontos de falha da arquitetura de segurança, não copiar e colar o prompt vazado dos outros.
O que a comunidade de segurança deveria discutir é por que houve o vazamento, como reduzir os danos e como construir novas camadas de proteção — não transformar o prompt em entretenimento de vitrine.
A maior lição deste caso
À primeira vista, o vazamento do prompt do Claude Fable 5 é um tropeço pontual da Anthropic; na realidade, é um problema de que toda a indústria de IA não consegue escapar.
Estamos entregando a grandes modelos um número crescente de decisões, operações e fronteiras de segurança. Mas muitos dos controles-chave desses sistemas ainda dependem de um meio frágil: prompts em linguagem natural.
A linguagem natural tem como virtude a flexibilidade — e como defeito ser flexível demais. Ela não tem tipos rígidos como o código, não é tão explícita quanto uma lista de controle de acesso, nem isola tão firmemente quanto uma sandbox.
Por isso, a segurança da IA do futuro não pode depender apenas de “system prompts cada vez mais longos”.
A direção realmente confiável é:
- treinamento de segurança interno do modelo
- motor de políticas externo
- sandbox de permissões de ferramentas
- logs de auditoria obrigatórios
- isolamento de informações confidenciais
- verificação cruzada entre múltiplos modelos
- testes automatizados de red team
O system prompt pode ser o volante, mas não pode ser o freio.
Palavras finais
O lado mais irônico da história do Fable 5: a Anthropic sempre foi a bandeira da segurança de IA, e eis que, pouco depois do lançamento do seu modelo mais seguro, surge o suposto vazamento do system prompt.
Isso não significa que a Anthropic seja fraca. Pelo contrário: mostra que a própria segurança da IA entrou numa fase mais difícil.
Antes, eram humanos atacando IAs.
Agora, são IAs organizando IAs para atacar IAs.
Quando ataque, política e análise retrospectiva se automatizam ao mesmo tempo, defender uma cidade com 120 mil caracteres de prompt de segurança está fadado a não bastar.
A era de primavera e outono da segurança da IA acabou; a era dos Reinos Combatentes só está começando.