Anthropic apresenta o Claude Mythos: IA que caça zero-days muda o equilíbrio de forças na internet

A Anthropic apresentou o Claude Mythos como um modelo capaz de encontrar vulnerabilidades desconhecidas de forma autônoma e transformá-las imediatamente em cenários de ataque funcionais. Por isso a empresa não liberou o sistema ao público: pela descrição da própria companhia, uma IA assim pode fazer mais do que apontar um ponto fraco. Ela pode invadi-lo de forma sequencial, obter privilégios elevados e encadear uma série de falhas para tomar o controle de programas críticos. São as chamadas vulnerabilidades zero-day: defeitos que os desenvolvedores ainda desconhecem e para os quais não existe correção pronta. Se uma ferramenta encontra essas brechas mais rápido que um humano, o custo de um erro sobe de forma brusca.

No modelo de defesa tradicional, as empresas têm um intervalo entre a descoberta de um problema e sua exploração em massa. Com uma IA assim, essa janela pode quase desaparecer: descoberta, escrita de código, busca de uma forma de contornar as defesas e escalada de privilégios acontecem em um único ciclo, sem longo trabalho manual. A Anthropic afirma que o Mythos, em teoria, consegue encadear várias vulnerabilidades para chegar ao nível dos grandes sistemas operacionais e dos navegadores mais populares.

Isso faz do caso não um problema local de um fornecedor, mas uma questão de resiliência de toda a infraestrutura digital. Se essa abordagem realmente funciona, o equilíbrio entre atacantes e defensores muda: invadir deixa de exigir uma equipe de especialistas raros e pode se apoiar em uma máquina que escala experiência, velocidade e persistência.

Nesse contexto, a empresa lançou o Project Glasswing, programa de acesso limitado para organizações que devem usar as capacidades do modelo com fins defensivos. Já foram anunciados 40 parceiros, e todos são americanos. É um detalhe importante: ferramentas que podem ao mesmo tempo reforçar a segurança e criar risco sistêmico se concentram no centro do ecossistema digital americano. Formalmente, trata-se de defesa preventiva, em que as vulnerabilidades precisam ser fechadas antes que criminosos as explorem. Na prática, porém, isso significa que algumas estruturas privadas recebem acesso exclusivo a uma tecnologia cuja influência vai muito além de suas próprias redes.

O único parceiro externo fora dos EUA é o Reino Unido, onde o AI Security Institute recebeu acesso ao sistema para testar modelos de fronteira. Depois de conhecer as capacidades do modelo, ministros britânicos alertaram as empresas: em breve a IA tornará os ciberataques visivelmente mais simples, rápidos e baratos, e a maioria das companhias não está preparada. Segundo as informações disponíveis, a próxima etapa pode ser a realização de testes em bancos europeus. É uma escolha lógica: o setor financeiro entende melhor que outros o preço das vulnerabilidades, mas também é especialmente sensível às consequências de erros na avaliação de risco.

A questão central aqui não é apenas técnica, mas também política. Quando um sistema consegue encontrar pontos fracos universais em softwares amplamente usados, ele se torna um instrumento de poder sobre a infraestrutura. Então importa não só o quão bem ele funciona, mas quem decide quem terá acesso, quais bugs serão corrigidos primeiro, onde passa a fronteira entre pesquisa e ciberoperação ofensiva e como verificar as declarações da própria empresa sobre o controle dos riscos. A internet aberta foi construída historicamente sobre a distribuição e regras comuns, e não sobre a ideia de que poucos atores enxergam todas as rachaduras antes dos demais.

O que isso significa

O surgimento do Claude Mythos mostra que a próxima fase da IA na cibersegurança será definida não só pela qualidade dos modelos, mas também pelo regime de acesso a eles. Uma tecnologia que escala igualmente bem a defesa e o ataque exige não apenas patches, mas também novas regras de responsabilização. Caso contrário, o controle sobre a segurança digital começará a migrar das instituições públicas e do ecossistema mais amplo para um círculo restrito de empresas privadas.