Anthropic e Claude Mythos elevam a ameaça: IA coloca ciberataques ao alcance de novatos

Em abril de 2026, a Anthropic apresentou o Claude Mythos Preview e acirrou o debate sobre como a IA muda a cibersegurança. O maior medo da indústria já não é que os modelos encontrem bugs, mas que pessoas sem formação técnica profunda consigam encontrá-los e explorá-los.

Da competição ao alarme

Já em agosto de 2025, no DARPA AI Cyber Challenge, em Las Vegas, equipes testaram sistemas automáticos de busca de vulnerabilidades em 54 milhões de linhas de código real. As ferramentas acharam não só erros inseridos artificialmente, mas também bugs genuínos que os organizadores nem pretendiam mostrar. É uma mudança importante: antes mesmo do alvoroço em torno do Mythos, já era possível ver que a IA consegue buscar vulnerabilidades numa escala que um humano, ou mesmo uma equipe comum de pesquisadores, leva muito mais tempo para alcançar.

Agora o mercado teme não a automação em si, mas a sua democratização. Antes, os chamados script kiddies pegavam scripts prontos na internet e rodavam exploits alheios, muitas vezes sem entender como funcionavam. Com modelos de IA desse nível, o esquema muda: em vez de copiar ferramentas antigas, é possível pedir ao sistema, numa conversa, que estude um código novo, proponha uma cadeia de ataque e aprimore um exploit para um alvo específico. Para atacantes pouco qualificados, isso já não é aceleração, mas quase uma nova classe de capacidades.

Atacar ficou mais barato

O que mais preocupa os especialistas não é o Claude Mythos em si, mas a queda brusca do custo de um ataque em sentido amplo: tempo, esforço e qualificação exigida. Pesquisadores dizem que achar uma vulnerabilidade séria em uma base de código desconhecida podia levar semanas ou meses, e agora leva horas. Tim Becker, da Theori e finalista do AIxCC, afirma sem rodeios que, com dicas mínimas, e às vezes sem nenhuma, a IA já consegue encontrar zero-days em software amplamente usado.

"A barreira de entrada para achar um bug em uma base de código de um

milhão de linhas agora é muito menor do que antes."

Por isso, passa a compensar atacar até sistemas que antes pareciam nichados demais ou caros demais para pesquisar. Se o esforço é quase de graça, criminosos podem procurar falhas em configurações raras, em software corporativo interno ou em serviços usados por uma única empresa. Os modelos conseguem testar variantes rapidamente, combinar padrões de erro conhecidos e escrever rascunhos funcionais de exploits quase na hora.

A Anthropic tenta conter o risco: o acesso ao Mythos é restrito, e o Claude Opus 4.7 ganhou proteção contra pedidos cibernéticos maliciosos. Mas ninguém garante que outros desenvolvedores serão igualmente cautelosos.

O principal problema são os patches

Para as empresas, o principal risco agora parece menos um "apocalipse de vulnerabilidades" e mais um "apocalipse de patches". Se os modelos acham milhares de problemas mais rápido do que as equipes conseguem verificá-los e corrigi-los, o gargalo deixa de ser a busca e passa a ser a resposta.

Os especialistas recomendam preparar desde já um plano Mythos-ready: segmentar redes, organizar o gerenciamento de identidades e acessos, adotar abordagens memory-safe sempre que possível e eliminar a dependência de autenticação fraca. Quanto menos camadas de defesa uma empresa tem hoje, mais vai doer a próxima onda de relatórios de vulnerabilidades.

• Segmentação de redes e serviços
• Controle rigoroso de identidades e acessos
• Código e arquitetura mais seguros
• Autenticação resistente a phishing e atualizações rápidas

Há ainda outro efeito desagradável: a janela entre a publicação de uma vulnerabilidade e o surgimento de um exploit quase desaparece. Assim que um patch sai, atacantes podem analisá-lo, entender o que exatamente foi corrigido e procurar sistemas não atualizados. Por isso, priorizar fica quase tão difícil quanto corrigir. Uma vulnerabilidade crítica num serviço interno nem sempre é mais perigosa do que uma falha menos grave no perímetro externo.

E esse fluxo precisa ser acompanhado por pessoas: analistas de ameaças, equipes de resposta a incidentes e engenheiros que conheçam a base de código a fundo para corrigir não só rápido, mas também sem criar novos problemas no futuro.

A ferramenta Xint, da Theori, é um exemplo revelador. Segundo a empresa, ela achou todos os bugs que o Mythos encontrou nas mesmas bases de código e acrescentou mais 12 zero-days que não estavam no anúncio original da Anthropic. Mas corrigir o que foi achado é muito mais difícil do que achar. Um bom patch exige contexto: é preciso entender se ele vai quebrar funcionalidades, piorar a manutenção do código ou criar novas brechas. No código aberto isso é especialmente pesado, porque pequenas equipes e mantenedores individuais podem ser soterrados por um fluxo de tickets impossível de acompanhar na velocidade em que a IA gera descobertas.

O que isso significa

A IA está mudando a segurança ofensiva mais rápido do que as empresas reformulam seus processos de defesa. Em 2026, vencerão não as que têm mais scanners, mas as que sabem priorizar riscos rapidamente, lançar atualizações e construir software mais seguro com antecedência. Caso contrário, até atacantes sem preparo sério terão ferramentas que antes só estavam ao alcance de pesquisadores fortes e grupos avançados.