Projeto Glasswing da Anthropic encontra mais de 10.000 vulnerabilidades críticas de software

A Anthropic anunciou que seu modelo de inteligência artificial Claude Mythos Preview identificou mais de 10 mil vulnerabilidades de alta ou gravidade crítica em softwares essenciais para o funcionamento da internet e de outras infraestruturas. O resultado é fruto do Projeto Glasswing, iniciativa colaborativa lançada no mês passado com cerca de 50 parceiros, incluindo empresas como Cloudflare, Palo Alto Networks e Oracle. A Cloudflare, por exemplo, encontrou 2 mil bugs em seus sistemas críticos, dos quais 400 foram classificados como graves, com taxa de falso positivo considerada melhor que a de testadores humanos.

O avanço representa uma mudança na dinâmica da segurança cibernética. Antes, o gargalo era encontrar novas vulnerabilidades; agora, o desafio é validar, divulgar e corrigir o grande volume de falhas descobertas pela IA. A Anthropic estima que, mantido o ritmo atual de verificação, o modelo pode ter identificado quase 3.900 vulnerabilidades críticas em código aberto — um número que deve crescer, já que a empresa pretende continuar as varreduras. Um exemplo concreto foi uma falha na biblioteca criptográfica wolfSSL, usada por bilhões de dispositivos, que permitiria a um atacante forjar certificados e hospedar sites falsos de bancos ou provedores de email.

O cenário impõe novos riscos. O tempo entre descoberta e correção de vulnerabilidades, que tradicionalmente segue uma janela de 90 dias para divulgação, torna-se mais crítico. Como o Mythos Preview reduz drasticamente o custo e o tempo para explorar falhas, o intervalo de exposição dos usuários cresce. A Anthropic destaca que, embora os patches estejam sendo lançados mais rapidamente (a Palo Alto Networks liberou cinco vezes mais correções que o normal, e a Oracle acelerou a correção de bugs em seus produtos), a capacidade humana de lidar com o volume ainda é limitada. Muitos mantenedores de código aberto, sobrecarregados, pediram até que a empresa desacelerasse as notificações.

Para ajudar a conter o problema, a Anthropic lançou ferramentas como o Claude Security em beta público para clientes corporativos, que já corrigiu mais de 2.100 vulnerabilidades em três semanas. A empresa também criou um programa de verificação cibernética para permitir que profissionais de segurança usem o modelo em testes de penetração e pesquisa, e firmou parceria com a Open Source Security Foundation para apoiar mantenedores. A expectativa é que modelos com capacidades similares ao Mythos Preview se tornem amplamente disponíveis em breve, o que torna urgente que a indústria se adapte a uma nova realidade: encontrar bugs ficou fácil, corrigi-los é que é o desafio.