NSA testa o modelo Mythos, da Anthropic, para encontrar vulnerabilidades em produtos da Microsoft

A NSA dos EUA está testando o novo modelo de inteligência artificial Mythos, da Anthropic, para encontrar vulnerabilidades em softwares populares, incluindo produtos da Microsoft. É um dos sinais mais visíveis de que modelos generativos começam a ser usados não só para escrever código, mas também para auditar segurança no nível de grandes estruturas governamentais.

O que se sabe até agora

Segundo as informações disponíveis, a Agência de Segurança Nacional dos EUA verifica até que ponto o modelo da Anthropic consegue encontrar pontos fracos em softwares amplamente usados. Entre os sistemas incluídos nos testes, são citados produtos da Microsoft.

Os detalhes do projeto não foram divulgados. Não se sabe se é um piloto interno, uma avaliação pontual das capacidades do modelo ou um processo mais amplo que pode virar prática permanente. Também não há dados públicos sobre quais classes de bugs o sistema procura.

Importa ainda quem encomenda essas verificações. Se a NSA faz experimentos com IA para caçar bugs, a tecnologia é vista não como demonstração de laboratório, mas como ferramenta potencialmente útil para tarefas reais de cibersegurança. Para o mercado, é um sinal forte: grandes organizações estão dispostas a testar se um modelo pode acelerar o trabalho de especialistas que protegem a infraestrutura e o software corporativo. Principalmente onde o custo de um erro não detectado é alto demais.

A combinação de Anthropic, Microsoft e NSA chama atenção especial. De um lado, uma grande desenvolvedora de modelos que leva a IA para cenários corporativos e sensíveis. De outro, um ecossistema de software que sustenta boa parte do trabalho de escritório, de nuvem e de infraestrutura. Quando esses atores se reúnem em um mesmo caso, deixa de ser um experimento para apresentação e passa a ser um teste de valor prático em um ambiente de alto risco.

Como isso pode funcionar

Nesses cenários, a IA não substitui o pesquisador de segurança por completo, mas ajuda a analisar mais rápido grandes volumes de código, documentação e dependências de sistema. O modelo pode atuar como assistente que sugere hipóteses, aponta trechos suspeitos, ajuda a reproduzir cadeias de erros e indica onde vale cavar mais fundo. A validação final continua com uma pessoa, principalmente em produtos críticos. Isso é ainda mais importante em sistemas antigos e complexos.

O interesse também é revelador para a Microsoft. Suas soluções estão na base de uma enorme quantidade de sistemas corporativos e governamentais, então até vulnerabilidades pequenas em produtos populares podem ter efeito amplo. Se a IA conseguir detectar esses problemas antes dos invasores ou dos ciclos clássicos de auditoria, o ganho será não só de velocidade, mas de escala: o mesmo modelo pode analisar em paralelo mais componentes do que uma equipe limitada faria manualmente.

Onde há benefício para a defesa

Nesses projetos, os modelos costumam ser valiosos não por uma única função "mágica", mas como um conjunto de aceleradores para a equipe de segurança. Eles não eliminam a auditoria manual, mas ajudam a reduzir mais rápido o escopo da verificação, definir prioridades e transformar sinais técnicos brutos em ações claras para engenheiros, analistas e responsáveis pelo produto. Essa camada é útil quando a equipe tem pouco tempo para a triagem inicial e lugares demais onde um erro pode se esconder.

• destacam rapidamente trechos de código e lógica potencialmente arriscados
• ajudam a associar sintomas de erro a classes conhecidas de vulnerabilidades
• sugerem cenários de teste para combinações raras ou complexas de componentes
• reduzem o tempo entre o sinal inicial e a recheca manual
• ajudam a documentar conclusões em linguagem clara para desenvolvedores e analistas

Ainda assim, essas ferramentas têm muitas limitações. O modelo pode marcar por engano código seguro como perigoso, deixar passar bugs fora do padrão ou oferecer explicações convincentes, porém erradas. Por isso, a questão central não é se a IA "sabe procurar vulnerabilidades" em geral, mas com que estabilidade ela faz isso em produtos reais, com um número aceitável de falsos positivos e benefício claro para a equipe. É por isso que, sem especialistas, esses sistemas ainda não funcionam.

O que isso significa

O caso Mythos mostra que a próxima etapa da adoção de IA em cibersegurança não são chatbots de consulta, mas ferramentas práticas para auditar softwares complexos. Se esses testes derem resultado, grandes fornecedores e órgãos governamentais vão incorporar modelos mais rápido aos processos de busca e priorização de vulnerabilidades.