Segurança e Privacidade

Os receios de que o modelo de inteligência artificial (IA) Mythos, da Anthropic, pudesse impulsionar de forma descontrolada atividades de hackers vêm sendo considerados exagerados por parte da comunidade de cibersegurança cerca de um mês após o anúncio da tecnologia.

Quando apresentou o sistema em abril, a Anthropic afirmou que o Mythos havia identificado milhares de vulnerabilidades de software, incluindo falhas em todos os principais sistemas operacionais e navegadores. Segundo a empresa, os impactos da disseminação do modelo poderiam ser severos.

As declarações chamaram a atenção de governos. Autoridades de diversos países passaram a discutir riscos com bancos, enquanto a Casa Branca avaliava, no início de maio, possíveis regras para controlar a forma como novos modelos de IA são disponibilizados após testes de segurança.

Apesar disso, profissionais da área de cibersegurança têm adotado uma postura mais cautelosa. Parte dos especialistas considera que a reação pública e política ao Mythos foi além do que as capacidades atuais do sistema efetivamente demonstram.

“Eu acho que existe uma grande lacuna de comunicação entre profissionais da área e formuladores de políticas públicas”, afirmou Isaac Evans, fundador e CEO da empresa de segurança de software Semgrep, à Reuters. Segundo ele, o modelo representa “um avanço técnico real”, mas a resposta em torno da tecnologia “não é sustentada pelo que realmente sabemos sobre como essas capacidades irão se traduzir no mundo real”.

Especialistas que utilizaram o modelo em ambientes controlados relataram melhorias substanciais na descoberta de vulnerabilidades. Equipes de tecnologia de bancos também vêm trabalhando para corrigir diversas fragilidades em sistemas bancários de grande e pequeno porte.

As preocupações aumentaram após sucessivos relatos envolvendo casos de ataques cibernéticos ligados ao uso de IA. Em 11 de maio, o Google informou ter detectado o primeiro caso conhecido de um grande grupo de cibercrime utilizando IA para descobrir uma falha de software até então desconhecida e planejar uma exploração em massa.

Especialistas apontam risco mais moderado

• A diferença entre a percepção de risco de profissionais da segurança e a visão de formuladores de políticas públicas ajudou a alimentar a narrativa de que o Mythos estaria no centro de uma iminente crise de segurança digital, embora capacidades semelhantes já estivessem disponíveis há algum tempo;
• “Somos capazes de usar IA para encontrar mais falhas do que sabemos o que fazer com elas há meses, talvez anos”, afirmou uma fonte com ampla experiência em pesquisa de vulnerabilidades e acesso antecipado ao Mythos à Reuters;
• Segundo essa pessoa, o desafio não está apenas em encontrar vulnerabilidades, mas em validá-las, priorizá-las e corrigi-las sem comprometer sistemas existentes. A capacidade das organizações de processar e validar um grande volume de falhas recém-descobertas ainda seria insuficiente;
• Mesmo assim, a fonte reconheceu avanços do Mythos em relação a modelos anteriores. “Ele é capaz de encontrar mais vulnerabilidades com prompts mais simples do que os modelos anteriores”, afirmou. Segundo a avaliação, sistemas anteriores exigiam instruções mais detalhadas e complexas, o que significa que a barreira de entrada foi reduzida.

Anthony Grieco, vice-presidente sênior e diretor de segurança e confiança da Cisco, afirmou que uma das novidades mais úteis do Mythos é a capacidade não apenas de identificar vulnerabilidades, mas também de analisar grandes volumes de código de maneira muito mais rápida e ajudar especialistas a reduzir falsos positivos.

Segundo Grieco, isso permite que equipes de defesa foquem nos riscos cibernéticos mais urgentes dentro de seus contextos. Ele também afirmou que o modelo possui menos barreiras de proteção do que sistemas anteriores, permitindo instruções mais específicas capazes de habilitar atividades que outros modelos não permitiam.

Leia mais:

• Claude.AI: como usar inteligência artificial
• 5 prompts para obter respostas mais inteligentes no Claude, IA da Anthropic
• Anthropic paga bilhões à SpaceX e negocia com Microsoft para expandir infraestrutura de IA

Projeto Glasswing da Anthropic testa defesas

Grieco afirmou que, para aproveitar totalmente o potencial do Mythos, as organizações precisam contar com infraestrutura computacional adequada e também com um ambiente controlado de execução, conhecido como “harness”, no qual o modelo opera com instruções e limitações específicas.

“Se você tem um carro de Fórmula 1, mas só andou de bicicleta a vida inteira, talvez consiga fazê-lo andar em linha reta, mas você não vai conseguir extrair o máximo desempenho imediatamente”, disse Grieco.

A estratégia da Anthropic de apresentar o Mythos dessa forma e convidar empresas selecionadas para testar defesas em um programa chamado Project Glasswing ajudou a ampliar o debate sobre o modelo para além dos círculos tradicionais de segurança.

Como resultado, houve uma mobilização ampla em torno do tema, o que ampliou tanto a percepção de ameaça quanto a relevância da Anthropic no debate público. Enquanto isso, o Pentágono classificou a empresa como um risco para cadeias de suprimentos, ao passo que outros setores do governo estadunidense buscavam acesso à tecnologia.

Segundo um funcionário da Casa Branca ouvido pela Reuters, o governo dos Estados Unidos vem discutindo com laboratórios de IA uma utilização mais ampla dessas tecnologias.

Um porta-voz da Anthropic afirmou que a empresa trabalha “de perto com o governo dos Estados Unidos para avançar rapidamente prioridades compartilhadas” e também para ampliar o acesso de mais organizações ao Mythos.

Encontrar vulnerabilidades é apenas o começo

O Mythos — e, em certa medida, o GPT-5.5, da OpenAI — passou a dominar discussões sobre segurança nacional relacionadas à inteligência artificial (IA).

No entanto, especialistas afirmam que esses debates frequentemente ignoram um ponto central: o uso de IA para localizar vulnerabilidades não é algo novo. O problema maior estaria nas etapas seguintes de exploração e resposta.

“Nossos adversários ficaram realmente muito bons sem IA”, afirmou Cynthia Kaiser, ex-integrante sênior da divisão de cibersegurança do FBI e atualmente ligada à empresa Halcyon. “Ataques de ransomware estão acontecendo em menos de uma hora”, disse ela, acrescentando que a maioria das ameaças ainda não depende de IA.

Por enquanto, as exigências de escala computacional e infraestrutura do Mythos também limitam quem consegue utilizar o sistema. Especialistas, porém, acreditam que essas barreiras não devem durar muito tempo.

“Eu não acho que a arquitetura esteja otimizada”, afirmou Nick Adam, da empresa de serviços financeiros State Street, durante um painel na Vanderbilt University (EUA). Ele citou justamente os desafios de infraestrutura e ambiente operacional mencionados por Grieco. “Existe uma barreira de entrada, mas ela será resolvida rapidamente.”

Anthropic fará apresentação a órgão global de estabilidade financeira

Em meio às discussões sobre os riscos do Mythos, a Anthropic deverá apresentar ao Financial Stability Board (FSB) vulnerabilidades cibernéticas identificadas pelo modelo no sistema financeiro global.

Segundo o jornal Financial Times, a startup responsável pelo chatbot Claude discutirá as capacidades do Mythos Preview com ministérios da Fazenda e bancos centrais ligados ao FSB, após um pedido do presidente da instituição e governador do Bank of England, Andrew Bailey.

O FSB é um órgão internacional responsável por coordenar regras financeiras entre as economias do G20. Um porta-voz do FSB afirmou que a organização “recebe positivamente o engajamento com a Anthropic e outras empresas sobre riscos emergentes e de fronteira para a estabilidade financeira global”.

A Anthropic não respondeu imediatamente aos pedidos de comentário da Reuters. Segundo a empresa, o Mythos é um modelo de cibersegurança projetado para detectar vulnerabilidades antigas em navegadores, infraestrutura e softwares.

Especialistas em segurança cibernética alertaram que o sistema poderia potencializar ataques mais sofisticados, criando riscos para o setor bancário, especialmente devido à dependência de sistemas legados.

Em abril, Bailey afirmou que o Mythos poderia representar riscos significativos para a segurança cibernética global.

“Seria razoável pensar que os eventos no Golfo são o desafio mais recente que enfrentamos neste mundo até que, acho que foi na última sexta-feira [11 de abril], você acorda e descobre que a Anthropic pode ter encontrado uma forma de abrir completamente o mundo do risco cibernético”, afirmou Bailey durante um evento na Universidade de Columbia, em Nova York (EUA).

“A questão é: até que ponto essa nova versão do produto será capaz de identificar vulnerabilidades em outros sistemas que possam ser exploradas para ataques cibernéticos”, acrescentou Bailey.

O post Anthropic: especialistas relativizam temores sobre Mythos apareceu primeiro em Olhar Digital.

A Anthropic afirmou que sua nova ferramenta de inteligência artificial (IA), o Claude Mythos, é tão eficaz na identificação de vulnerabilidades em softwares e sistemas computacionais que não pode ser disponibilizada ao público em geral.

Segundo a empresa, a tecnologia foi liberada apenas para um grupo restrito de organizações cuidadosamente selecionadas, devido ao risco de que, nas mãos erradas, possa facilitar o roubo de dados ou a interrupção de infraestruturas críticas.

As preocupações com segurança ganharam força após um episódio em que um pequeno grupo de usuários não autorizados conseguiu acesso ao sistema em um fórum privado online, de acordo com uma fonte com conhecimento do caso e documentos analisados pela Bloomberg.

Diante desse cenário, a Casa Branca se posicionou contra o plano da Anthropic de ampliar o acesso ao Mythos para outras 70 empresas e organizações, segundo um funcionário do governo.

O The Wall Street Journal foi o primeiro a noticiar as preocupações do governo dos Estados Unidos, que também teme que a Anthropic não disponha de capacidade computacional suficiente para atender mais usuários sem comprometer o uso da ferramenta por parte do próprio governo.

Nos últimos anos, empresas de cibersegurança têm defendido que a IA pode acelerar e automatizar a prevenção de ataques digitais. No entanto, hackers e agentes de espionagem também passaram a explorar essas mesmas vantagens.

O surgimento do Mythos e de modelos semelhantes, capazes de identificar falhas complexas sem supervisão humana, indica uma nova fase na corrida armamentista cibernética, marcada por maior velocidade e imprevisibilidade.

O que é o Mythos, da Anthropic

• O Claude Mythos Preview é um modelo de IA de uso geral que, segundo a Anthropic, supera significativamente versões anteriores em diversos critérios, incluindo programação e raciocínio lógico;
• A empresa afirma que alguns modelos já atingiram um nível de capacidade em código que lhes permite superar todos, exceto os humanos mais experientes, na identificação e exploração de vulnerabilidades;
• Durante testes, o Mythos Preview teria identificado milhares de vulnerabilidades do tipo “zero-day”, inclusive em todos os principais sistemas operacionais e navegadores web. Essas falhas, desconhecidas pelos próprios desenvolvedores, representam oportunidades valiosas para hackers, já que oferecem acesso irrestrito a sistemas vulneráveis até que sejam corrigidas;
• A Anthropic destacou que o Mythos foi capaz de identificar essas falhas com ainda menos intervenção humana do que modelos anteriores. “O Mythos Preview demonstra um salto nessas habilidades cibernéticas — as vulnerabilidades que ele identificou, em alguns casos, sobreviveram a décadas de revisão humana e milhões de testes de segurança automatizados”, afirmou a empresa.

Especialistas alertam que, nas mãos de grupos de ransomware ou governos hostis, a tecnologia poderia resultar em ataques cibernéticos mais frequentes e devastadores.

Pesquisadores, no entanto, afirmam não ter acesso suficiente para verificar de forma independente o desempenho alegado do sistema. Gang Wang, professor associado de ciência da computação da Universidade de Illinois (EUA), disse à Bloomberg que é difícil avaliar a relevância do Mythos sem testes práticos mais aprofundados.

Quem tem acesso à ferramenta da Anthropic

A Anthropic concedeu acesso ao Mythos a um grupo limitado de parceiros verificados, em uma iniciativa chamada Project Glasswing — nome inspirado em uma espécie de borboleta de asas transparentes.

Entre os participantes estão Amazon, Apple, Google (da Alphabet), Microsoft, Nvidia, Palo Alto Networks, CrowdStrike, Broadcom, Cisco, JPMorganChase e a Linux Foundation, além de cerca de outras 40 organizações.

De acordo com a empresa, o projeto representa “uma tentativa urgente de colocar essas capacidades a serviço da defesa”.

As organizações participantes utilizarão o Mythos em suas estratégias de segurança defensiva e a Anthropic pretende compartilhar os resultados obtidos para beneficiar outros setores.

Atualmente, muitas empresas realizam testes de invasão, contratando especialistas para identificar falhas antes que hackers as explorem. O Mythos pode acelerar esse processo, permitindo a descoberta de um maior número de vulnerabilidades em menos tempo.

Um “divisor de águas” na segurança digital

A Anthropic classificou o Mythos Preview como um “divisor de águas” para a segurança. Vulnerabilidades do tipo zero-day são, por natureza, difíceis de detectar, e existe um mercado especializado em descobri-las e vendê-las a agências de inteligência por valores que podem chegar a milhões de dólares.

Segundo a empresa, muitas das falhas identificadas pelo Mythos eram “sutis e difíceis de detectar“, incluindo uma vulnerabilidade de 27 anos no sistema operacional OpenBSD, conhecido por seu alto nível de segurança.

O sistema também teria conseguido transformar vulnerabilidades conhecidas, mas ainda não corrigidas, em explorações práticas capazes de permitir a invasão de redes. Em um exemplo citado, o Mythos identificou e combinou diversas falhas no kernel do Linux, possibilitando que um invasor assumisse controle total de uma máquina.

A Anthropic afirmou ainda que usuários sem experiência técnica conseguiram solicitar ao sistema formas de assumir o controle remoto de computadores durante a noite e retornaram, no dia seguinte, com um exploit completo e funcional.

Ferramentas semelhantes também estão sendo desenvolvidas por outras empresas. A OpenAI trabalha no Codex Security, enquanto o Google desenvolveu o chamado “Big Sleep agent“.

Além disso, a OpenAI estaria finalizando um produto com capacidades avançadas de cibersegurança para parceiros selecionados. Pesquisadores da startup israelense Buzz afirmam ter criado uma ferramenta autônoma com taxa de sucesso de 98% na exploração de falhas conhecidas.

Leia mais:

• Claude.AI: como usar inteligência artificial
• 5 prompts para obter respostas mais inteligentes no Claude, IA da Anthropic
• Google planeja investir até US$ 40 bilhões na Anthropic

Salvaguardas ainda em desenvolvimento

Segundo a Anthropic, os mecanismos de segurança do Mythos ainda estão em evolução. “Observamos que ele atingiu níveis de confiabilidade e alinhamento sem precedentes. No entanto, em raras ocasiões em que falha ou apresenta comportamento atípico, notamos que ele toma atitudes que consideramos bastante preocupantes“, afirmou a empresa.

Em um teste, um pesquisador incentivou uma versão inicial do sistema a escapar de um ambiente isolado e enviar uma mensagem externa. O Mythos conseguiu realizar a tarefa e, em seguida, executou ações adicionais consideradas preocupantes, desenvolvendo um exploit em múltiplas etapas para acessar a internet.

A empresa afirmou que não pretende disponibilizar amplamente o Mythos Preview devido ao potencial de uso indevido. Ainda assim, planeja no futuro permitir a utilização de modelos semelhantes em larga escala, desde que sejam desenvolvidas salvaguardas capazes de detectar e bloquear os usos mais perigosos.

Para vulnerabilidades consideradas mais graves, especialistas humanos ainda participam do processo, validando as descobertas antes de encaminhá-las aos responsáveis pelos sistemas afetados. Embora necessário, esse procedimento é demorado — algo que pode ser reduzido à medida que a tecnologia evolui.

Vantagem para defensores ou atacantes?

A Anthropic acredita que, no longo prazo, ferramentas como o Mythos favorecerão os defensores. No entanto, esse cenário pode levar tempo para se concretizar. Atualmente, menos de 1% das vulnerabilidades identificadas pelo sistema foram totalmente corrigidas.

Enquanto isso, hackers também utilizam IA para acelerar a exploração de falhas já divulgadas, reduzindo o tempo disponível para correções por parte das empresas.

Em publicação de 30 de março, o CEO da Palo Alto Networks, Nikesh Arora, alertou que a barreira para ataques sofisticados continuará diminuindo nos próximos meses. “Agora, um único agente malicioso poderá executar campanhas que antes exigiam equipes inteiras”, escreveu.

Yair Saban, CEO da Buzz e ex-integrante da unidade cibernética 8200 de Israel, afirmou que sua equipe levou apenas três semanas para desenvolver uma ferramenta de ataque baseada em IA, sugerindo que outros grupos podem fazer o mesmo.

Apesar dos riscos, a Anthropic sustenta que, no futuro, a tecnologia contribuirá para um ambiente digital mais seguro. “A longo prazo, esperamos que as capacidades de defesa dominem: que o mundo emerja mais seguro, com softwares mais robustos — em grande parte graças ao código escrito por esses modelos”, afirmou o grupo Frontier Red Team da empresa. “Mas o período de transição será difícil.”

O post Anthropic: Mythos acende alerta global sobre riscos na cibersegurança apareceu primeiro em Olhar Digital.