Claude Mythos Preview é provavelmente uma das demonstrações mais fortes até agora de como a IA pode alterar a cibersegurança. Não porque esteja disponível para qualquer pessoa, mas precisamente porque não está: a Anthropic decidiu restringir o acesso ao modelo e usá-lo primeiro num programa defensivo chamado Project Glasswing (já se tinha bordado o tema antes).

Publicidade Desde €2,30

A razão é simples e desconfortável. Segundo a própria Anthropic, Mythos Preview atingiu um nível em que consegue superar quase todos os humanos na descoberta e exploração de vulnerabilidades de software. Isto torna o modelo extremamente útil para defesa, mas também perigoso se cair em mãos erradas.

O Project Glasswing junta cerca de 50 parceiros e inclui organizações como AWS, Apple, Google, Microsoft, Cisco, CrowdStrike, NVIDIA, Palo Alto Networks, JPMorganChase e a Linux Foundation. O objectivo é encontrar e corrigir vulnerabilidades críticas em software que sustenta a Internet antes de modelos semelhantes ficarem mais acessíveis a atacantes.

Os primeiros números são grandes o suficiente para mudar a conversa. A Anthropic afirma que, nas primeiras semanas, os parceiros do Project Glasswing encontraram mais de 10.000 vulnerabilidades de severidade alta ou crítica em software importante. A empresa também diz que vários parceiros aumentaram a velocidade de descoberta de bugs em mais de dez vezes.

Num esforço separado de análise open-source, foram identificados 23.019 candidatos a vulnerabilidade em mais de 1.000 projectos. Desse conjunto, 6.202 foram classificados como high ou critical, 1.726 foram validados como positivos verdadeiros, 1.094 foram confirmados como high ou critical, 97 já tinham sido corrigidos via upstream e 88 advisories tinham sido emitidos, segundo dados reportados pela Anthropic e sintetizados por publicações de segurança.

Há exemplos concretos. A Cloudflare reportou cerca de 2.000 bugs encontrados em sistemas críticos, dos quais 400 foram classificados como high ou critical. A Mozilla corrigiu 271 vulnerabilidades no Firefox associadas a testes com Claude Mythos Preview, embora apenas uma parte tenha recebido CVE público, o que indica que nem todos os achados eram necessariamente falhas exploráveis ou de severidade máxima.

Publicidade Desde €2,90

Este detalhe é importante para manter a cabeça fria. Encontrar milhares de bugs não significa encontrar milhares de catástrofes imediatas. Algumas descobertas podem ser simples hardening, problemas de menor impacto, bugs sem caminho de exploração claro ou falhas que exigem contexto específico. Mas mesmo descontando o ruído, o sinal é forte: a descoberta automatizada de vulnerabilidades entrou numa nova fase.

A consequência prática é que o gargalo mudou. Durante anos, a indústria de segurança foi limitada pela capacidade de encontrar falhas. Agora, com modelos como Mythos Preview, o problema começa a ser outro: verificar, priorizar, comunicar, corrigir, testar e distribuir patches sem rebentar as equipas responsáveis por manter software crítico.

É aqui que Claude Code Security entra na história. A Anthropic começou a disponibilizar uma funcionalidade em preview limitado para clientes Team e Enterprise que analisa codebases, identifica vulnerabilidades e sugere patches para revisão humana. A mensagem é clara: o futuro defensivo não é só IA a encontrar problemas; é IA a propor correções, com humanos a validar antes de qualquer alteração entrar em produção.

Esse modelo human-in-the-loop é essencial. Uma IA capaz de descobrir vulnerabilidades também pode propor patches errados, incompletos ou perigosos se for usada sem revisão. Em cibersegurança, automatizar a descoberta sem automatizar a validação e a remediação só cria uma fila maior de incêndios. Mais olhos digitais não servem de muito se ninguém tiver mãos para fechar as portas.

Também convém separar factos de ruído. Há rumores sobre versões futuras, nomes internos e lançamentos próximos da família Claude, mas o que está solidamente confirmado é o suficiente: Mythos Preview existe, é restrito, já está a ser usado defensivamente por parceiros e a própria Anthropic reconhece que ainda não há salvaguardas fortes o bastante para tornar modelos desta classe amplamente disponíveis.

Para empresas, a lição é directa. A cibersegurança vai deixar de ser apenas uma corrida por scanners melhores e tornar-se uma disciplina de remediação rápida, governação e capacidade operacional. Quem tiver inventário de software, logs, processos de patching curtos, revisão técnica forte e equipas preparadas para trabalhar com IA vai ganhar tempo. Quem ainda vive em dívida técnica eterna vai descobrir que a dívida cobra juros... e agora cobra com motor turbo.

No fim... Claude Mythos não é apenas mais um modelo poderoso. É um sinal de que a defesa e o ataque estão a entrar numa fase em que a escala deixa de ser humana. A boa notícia é que a mesma capacidade que encontra falhas pode ajudar a corrigi-las. A má notícia é que ninguém vai ter o luxo de fingir que estas falhas não existem até ao próximo trimestre.