Alegações da Anthropic sobre caça a vulnerabilidades com o Mythos são contestadas no setor de cibersegurança

O Anthropic Mythos desperta interesse, mas também ceticismo crescente: o modelo, comentado por sua capacidade de encontrar vulnerabilidades de segurança perigosas, pode ser menos único do que sugere a forma como foi apresentado ao público. Se os resultados dos testes internos da Aisle estiverem corretos, o caso de grande repercussão, que causou alarme em órgãos governamentais e grandes organizações, também pode ser reproduzido com modelos open-source bem mais baratos. A discussão começou com alegações de que o Mythos é capaz de identificar defeitos e vulnerabilidades de software em um nível que levou agências governamentais e clientes institucionais a encarar com mais cautela os riscos de uma ferramenta desse tipo.

O fato de o modelo estar sendo testado apenas por um grupo restrito de empresas só aumenta a tensão: com o acesso fechado, o mercado precisa se apoiar em demonstrações pontuais e nas avaliações do próprio desenvolvedor, e não em um benchmark amplo. Foi nesse ponto que surgiu a principal crítica, feita por Jaya Baloo, COO e CISO da empresa de cibersegurança Aisle. Segundo ela, em testes internos, a equipe conseguiu reproduzir o mesmo resultado citado pela Anthropic usando modelos de código aberto de baixo custo.

Em outras palavras, talvez não se trate de um salto tecnológico inalcançável de um único sistema fechado, e sim de uma tarefa que ferramentas mais acessíveis já conseguem resolver com a configuração certa, contexto suficiente e um prompt bem construído. Para compradores e reguladores, a diferença é enorme. Uma coisa é um modelo raro, com acesso rigidamente controlado, que entrega um resultado incomum em um ambiente fechado.

Outra é um cenário em que sistemas mais baratos, disponíveis para implantação interna ou para uso com código aberto, alcançam um efeito comparável. No primeiro caso, o foco recai sobre a restrição de acesso a um produto específico. No segundo, sobre a necessidade de as organizações revisarem seus processos de defesa, code review e testes internos como parte de uma nova normalidade.

Há ainda outra camada importante nessa história: a confiança em alegações chamativas feitas em uma fase inicial de testes. Enquanto o modelo é avaliado por um grupo restrito de empresas, o mercado aberto enxerga só a ponta do iceberg — um caso isolado, uma formulação impactante e a reação a ela. Uma avaliação real, porém, exige cenários comparáveis, resultados reproduzíveis e clareza sobre as condições em que o modelo encontrou uma vulnerabilidade específica.

Sem isso, é fácil confundir uma demonstração impressionante com uma vantagem consistente. Para o setor de cibersegurança, esse ponto é fundamental. Se a singularidade do Mythos estiver exagerada, a avaliação da ameaça também muda.

Os temores em torno desses modelos se baseiam em duas premissas: eles aceleram a descoberta de vulnerabilidades e reduzem a barreira de entrada para atacantes. Mas, se o mesmo efeito for alcançável pelo ecossistema open-source, o debate deve se deslocar de uma empresa específica para um fato mais amplo: essas capacidades provavelmente já estão espalhadas pelo mercado e não dependem de um único fornecedor. Por outro lado, isso não necessariamente reduz a preocupação — na verdade, torna-a mais concreta.

Para governos, corporações e desenvolvedores, a questão agora vai além da força de uma única IA de ponta: importa também a velocidade com que funções semelhantes se espalham por modelos de baixo custo e de acesso público. O acesso restrito ao Mythos pode ter criado a sensação de um perigo exclusivo. A declaração da Aisle aponta para outro cenário: recursos de caça a bugs, úteis para defensores e igualmente arriscados nas mãos de atacantes, já estão se popularizando.

A principal conclusão é que a disputa em torno do Anthropic Mythos envolve tanto a qualidade de um modelo quanto a forma como o mercado mede o caráter excepcional da IA em cibersegurança. Se soluções open-source baratas de fato encontram as mesmas vulnerabilidades, a vantagem competitiva da Anthropic parece menos dramática, e o debate deixa o terreno do sensacionalismo para entrar no da verificação, dos testes comparativos e do controle de acesso a esse tipo de ferramenta.