A acessibilidade tornou-se um proxy para autorização.
Em experimentos de acompanhamento em pontos da transcrição do ataque, o Opus 4.7 disse que estava interagindo com uma empresa real em 89% das respostas. Questionado se o acesso foi autorizado, respondeu que sim 75% das vezes. Quando os investigadores perguntaram quem tinha concedido a permissão e se esta se estendia a um sistema de produção real, o modelo admitiu consistentemente que as suas ações não eram permitidas. Experimentos separados que tornaram explícita a falta de autorização reduziram substancialmente seus ataques.
Já vi uma versão muito menor disso no trabalho empresarial comum, muito antes de os agentes entrarem em cena. Quando estou depurando desenvolvimento, preparação e produção, leio o ambiente da mesma forma que um agente: o nome do host, o nome do serviço, o formato das linhas que retornam de uma consulta. Apontei um serviço de teste para um cache compartilhado para reproduzir um bug, reutilizei um conjunto de dados em formato de produção porque era a maneira mais rápida de ver a falha e confiei em um nome de serviço que estava obsoleto há cinco anos. Nada disso é uma falha de segurança por si só. Só se torna um quando algo raciocina literalmente sobre esses sinais e conclui que tem permissão, porque o ambiente respondeu a uma pergunta que o modelo de acesso deveria responder.
