Inteligência Artificial
A Anthropic posiciona o Mythos Preview como um salto em tarefas de segurança e cria o Project Glasswing para armar os defensores primeiro.
Na semana passada a Anthropic fez um anúncio que merece atenção de qualquer líder técnico: o Claude Mythos Preview, um modelo de propósito geral que demonstra capacidade inédita em identificação e exploração de vulnerabilidades de software. Junto veio o Project Glasswing, iniciativa para colocar essas capacidades nas mãos de defensores antes que atores maliciosos desenvolvam ferramentas equivalentes. O movimento é calculado. As implicações são profundas.
O diferencial não é "encontrar bugs". Ferramentas de SAST e DAST fazem isso há anos. O que muda é o tipo de vulnerabilidade que o modelo consegue identificar e a profundidade da análise.
Ferramentas tradicionais como Snyk, SonarQube e Semgrep operam com regras estáticas e padrões conhecidos. São excelentes para pegar SQL injection óbvio, dependências com CVE publicado ou uso inseguro de funções criptográficas. Só que falham em vulnerabilidades de lógica de negócio, em condições de corrida sutis, em falhas de autorização que dependem do fluxo completo da aplicação e em cadeias de exploração que combinam múltiplos pontos fracos individualmente inofensivos.
O Mythos Preview opera em outro nível. Segundo os benchmarks divulgados pela Anthropic, o modelo demonstra capacidade de:
Isso coloca o modelo mais próximo de um pesquisador de segurança sênior do que de um linter com esteroides.
A Anthropic entendeu o óbvio: um modelo que encontra zero-days com essa eficiência é uma faca de dois gumes. O Project Glasswing é a resposta. A iniciativa dá acesso antecipado a equipes de defesa de infraestrutura crítica, mantenedores de projetos open source amplamente utilizados e CERTs nacionais.
A empresa não planeja disponibilizar o Mythos Preview de forma ampla no curto prazo. A restrição é proposital. O mesmo modelo que ajuda a auditar um repositório pode, em mãos erradas, automatizar a descoberta de exploits em escala industrial. O risco dual não é teórico. É consequência direta de treinar modelos com capacidade de raciocínio profundo sobre código.
Três pontos que exigem ação imediata:
Patch em velocidade de ciclo curto. A janela entre divulgação de CVE e exploração ativa já encolheu de semanas para dias. Com modelos capazes de gerar exploits automaticamente, essa janela vai encolher para horas. Processos de atualização trimestrais são uma sentença de morte. Se sua organização ainda depende de ciclos manuais de patch, o risco acumulado já é inaceitável.
Triagem automatizada com contexto. O volume de achados que ferramentas de IA vão gerar é ordens de magnitude maior do que qualquer equipe consegue processar manualmente. Sem priorização inteligente, baseada em exposição real, criticidade do ativo e explorabilidade confirmada, o resultado é paralisia por ruído.
Fornecedores como extensão da estratégia de risco. Laboratórios de IA e provedores de nuvem deixaram de ser apenas fornecedores de infraestrutura. Qual modelo usar, com quais guardrails e sob qual política de divulgação responsável: tudo isso virou decisão de gestão de risco. Trate como tal.
Para empresas em setores regulados, o debate não é "usar ou não IA em segurança". É como integrar modelos com trilha de auditoria, segregação de ambientes e políticas de divulgação responsável. Esse tipo de arquitetura é exatamente o que construímos em projetos de transformação cloud e engenharia de software.
Se você lidera um SOC ou responde por um programa de vulnerability management, prepare-se para uma mudança estrutural.
Primeiro: o volume de vulnerabilidades reportadas vai explodir. Modelos como o Mythos Preview vão alimentar pipelines de scanning que identificam classes de falhas que as ferramentas atuais simplesmente ignoram. Seu backlog vai crescer. A tentação vai ser ignorar achados de baixa severidade. Resista: cadeias de exploração começam exatamente nos pontos que ninguém prioriza.
Segundo: a qualificação dos analistas precisa mudar. Analistas de SOC que sabem apenas operar playbooks pré-definidos vão perder relevância rápido. A habilidade que importa agora é interpretar o output de modelos de IA, validar se uma cadeia de exploração é viável no contexto específico da sua infraestrutura e traduzir achados técnicos em decisões de negócio para a diretoria.
Terceiro: métricas tradicionais ficam obsoletas. MTTR (Mean Time to Remediate) calculado sobre CVEs públicos não captura mais o risco real. Você precisa medir cobertura de análise semântica, taxa de falsos negativos das suas ferramentas atuais versus análise assistida por IA, e tempo entre descoberta interna e correção efetiva.
Programas de vulnerability management que não incorporarem análise assistida por IA nos próximos 12 a 18 meses vão operar cegos em relação a classes inteiras de vulnerabilidades.
Nosso trabalho em GRC e agentes de IA já parte da premissa de que modelos de linguagem são, ao mesmo tempo, superfície de ataque e superfície de defesa. Ajudamos organizações a construir a governança, a arquitetura e os processos para usar essas capacidades sem criar novos vetores de risco.
Leia também: Hack ao supercomputador da China expõe 10 PB de dados militares
Leitura recomendada na íntegra no blog da Anthropic: Assessing Claude Mythos Preview's cybersecurity capabilities.