Anthropic lança o Cyber Mission: scanner de vulnerabilidades com IA, gratuito e com precisão esperada acima de 90%

A Anthropic lançou o programa Cyber Mission, que reúne duas frentes: a proteção de infraestrutura crítica e a verificação de vulnerabilidades em software de código aberto. CrowdStrike e Palo Alto Networks são as parceiras e ajudarão a proteger redes elétricas e sistemas de abastecimento de água. Para projetos open-source, a empresa lançou um scanner de IA gratuito que busca vulnerabilidades de forma automática. A precisão esperada, segundo a empresa, é superior a 90%. As informações são do The Decoder.

Duas tarefas sob o mesmo nome

O programa trata de problemas que normalmente ficam em áreas diferentes. Redes elétricas e companhias de água são sistemas industriais, com ciclos longos de atualização e alto custo de paralisação. Já as bibliotecas open-source são o código sobre o qual quase todo software moderno se apoia, embora sejam mantidas por equipes pequenas e, muitas vezes, por voluntários isolados. A Anthropic reúne as duas frentes em uma única iniciativa e aposta que modelos de IA leem código com eficiência e encontram erros nele.

O papel dos parceiros é este: CrowdStrike e Palo Alto Networks são empresas com experiência em detecção de ameaças e resposta a incidentes. Elas trazem conhecimento a setores em que a própria Anthropic não tem experiência operacional. Os primeiros comunicados não detalham como as tarefas serão divididas entre os participantes.

O que se sabe sobre o scanner

O scanner trabalha com projetos abertos de forma automática e gratuita. Estes são os principais parâmetros que foi possível confirmar:

• Nome do programa: Cyber Mission.
• Parceiros: CrowdStrike, Palo Alto Networks.
• Alvos: infraestrutura crítica (redes elétricas, abastecimento de água) e projetos open-source.
• Custo do scanner para open-source: gratuito.
• Precisão esperada na detecção de vulnerabilidades: acima de 90%.

A palavra "esperada" é importante aqui. Não se trata do resultado de um teste independente, mas de uma meta declarada no lançamento. Não se sabe em que conjunto de dados a avaliação foi feita. Também não está claro o que exatamente se considera precisão: a fatia das vulnerabilidades reais que foram encontradas ou a fatia de alertas corretos entre todos os que o scanner emitiu. Para um scanner de código, a diferença é fundamental. Uma ferramenta que encontra quase tudo, mas afoga o usuário em falsos alarmes, será desativada rapidamente pelos mantenedores.

Também não foi divulgado o modelo no qual o scanner se baseia. As condições de acesso, os limites de tamanho de repositório e o procedimento de divulgação das vulnerabilidades encontradas igualmente ainda não foram descritos.

Por que os falsos positivos decidem tudo

Em projetos open-source, o maior gargalo é o tempo das pessoas, não as ferramentas. Alguém precisa ler, reproduzir e encerrar cada relatório do scanner. Mesmo com 90% de precisão, uma base de código grande ainda terá dezenas de achados duvidosos. Se o modelo acompanhar cada achado de uma descrição clara, um exemplo de exploração e uma correção sugerida, o scanner vai economizar horas. Se emitir apenas alertas genéricos, vai gerar carga extra de trabalho.

A segunda questão é a responsabilidade na divulgação. A busca automática de vulnerabilidades é igualmente útil para defensores e atacantes. Como a Anthropic vai lidar com as vulnerabilidades encontradas antes da publicação dos patches só ficará claro na prática do programa.

Como abordar a ferramenta na prática

Para os mantenedores de projetos abertos, é sensato rodar o scanner em um repositório não crítico e comparar o resultado com a lista própria de problemas conhecidos e com a saída dos analisadores estáticos habituais. Assim é possível medir a taxa de falsos positivos antes de integrá-lo ao CI.

As equipes de segurança de empresas que dependem de open-source devem verificar quais de suas dependências principais serão cobertas pela análise e pedir à Anthropic a metodologia usada para calcular os 90% declarados. Para operadores de infraestrutura, o mais útil é aguardar a descrição de quais serviços os parceiros realmente oferecerão no programa. Por enquanto, trata-se de uma declaração de intenções com um único número concreto, e ele terá de ser verificado em código real.