Anthropic apresenta o Mythos: novo modelo de IA turbina a busca e a exploração de vulnerabilidades

A Anthropic parece ter mostrado uma das primeiras ferramentas de IA que muda não só a velocidade, mas a própria mecânica da segurança cibernética. Os primeiros testadores consideram o Mythos um sistema bem mais forte que os modelos anteriores da empresa, e o acesso está limitado de propósito por enquanto, para dar vantagem aos defensores antes que capacidades semelhantes cheguem aos criminosos.

O Mythos é o novo modelo da Anthropic para programação e tarefas agênticas, mas foi em segurança cibernética que o salto ficou mais evidente. A empresa não o liberou amplamente e lançou um programa fechado, o Project Glasswing. Participam Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, Nvidia e Palo Alto Networks. A lógica é simples: entregar o modelo primeiro a quem mantém infraestrutura crítica e grandes bases de código, para que tenham tempo de encontrar e fechar os pontos fracos.

Um detalhe importante é que o Mythos não parece um modelo "hacker" restrito. A Anthropic o descreve como seu sistema geral mais forte para código e tarefas agênticas, e trata as capacidades cibernéticas como efeito colateral desse avanço. Quanto melhor um modelo entende grandes projetos, reescreve código e executa sozinho longas cadeias de ações, melhor ele encontra e explora brechas. Por isso a empresa não fala em uma atualização pontual, mas na travessia de um limiar a partir do qual as medidas de segurança anteriores já não bastam.

Segundo os primeiros parceiros, o Mythos supera as gerações passadas não só na busca por bugs, mas também no que normalmente exige um engenheiro experiente de segurança ofensiva: reproduzir o problema, entender o caminho do ataque e encadear várias vulnerabilidades em uma cadeia funcional. A Anthropic afirma abertamente que o modelo anterior, o Opus 4.6, quase não conseguia levar de forma autônoma os erros encontrados até um exploit funcional. Em um benchmark interno baseado no Firefox, o modelo antigo teve pouquíssimos acertos, enquanto o Mythos conseguiu fazer os ataques funcionarem muitas vezes mais.

A verificação independente do AI Security Institute, do Reino Unido, acrescenta números a essas avaliações. Em tarefas de nível especialista, o modelo teve 73% de sucesso e, numa simulação de ataque corporativo de 32 etapas, foi o primeiro sistema a completar o cenário, da fase de reconhecimento ao controle total da rede. Ele concluiu toda a cadeia em 3 de 10 tentativas e, em média, passou por 22 das 32 etapas. Isso importa não porque a IA tenha "inventado" de repente um novo tipo de invasão, mas porque passou a automatizar etapas longas e caras para um humano.

Por ora, a Anthropic enfatiza o uso defensivo. A empresa diz que o Mythos já ajudou a identificar milhares de vulnerabilidades zero-day em software crítico e destinou US$ 100 milhões em créditos de computação ao programa de acesso antecipado. Mas o outro lado é óbvio: o que hoje ajuda em correções e auditorias pode acelerar amanhã o trabalho dos atacantes. Os parceiros do projeto alertam sem rodeios que a janela entre a descoberta de uma falha e sua exploração prática está encolhendo de meses para minutos, sobretudo se o modelo age de forma agêntica e não perde contexto em grandes bases de código.

Para o mercado, o sinal vai em duas direções. Primeiro, a defesa cibernética deixa de ser um processo resolvido com auditorias raras e patches programados: se modelos do nível do Mythos se tornarem realidade, a defesa também precisa ser quase contínua. Segundo, o principal risco se desloca das "supermodelos" em si para a qualidade da infraestrutura ao redor delas. Grandes empresas com times de segurança fortes provavelmente vão incorporar essas ferramentas mais rápido. As mais fracas parecem ser as organizações pequenas e médias, com sistemas legados, ciclos longos de atualização e falta de especialistas. Para elas, a chegada do Mythos pode ser não uma notícia abstrata do mundo da IA, mas um alerta direto.