Na semana passada a Anthropic fez um anúncio que merece atenção de qualquer líder técnico: o Claude Mythos Preview, um modelo de propósito geral que demonstra capacidade inédita em identificação e exploração de vulnerabilidades de software. O anúncio veio acompanhado do Project Glasswing, uma iniciativa para colocar essas capacidades nas mãos de defensores antes que atores maliciosos desenvolvam ferramentas equivalentes. É um movimento calculado — e as implicações são profundas.

O que o Mythos Preview faz, na prática

O diferencial não é “encontrar bugs”. Ferramentas de SAST e DAST fazem isso há anos. O que muda é o tipo de vulnerabilidade que o modelo consegue identificar e a profundidade da análise.

Ferramentas tradicionais como Snyk, SonarQube e Semgrep operam com regras estáticas e padrões conhecidos. Elas são excelentes para pegar SQL injection óbvio, dependências com CVE publicado, ou uso inseguro de funções criptográficas. Mas têm limitações claras: falham em vulnerabilidades de lógica de negócio, em condições de corrida sutis, em falhas de autorização que dependem do fluxo completo da aplicação, e em cadeias de exploração que combinam múltiplos pontos fracos individualmente inofensivos.

O Mythos Preview opera em outro nível. Segundo os benchmarks divulgados pela Anthropic, o modelo demonstra capacidade de:

• Identificar vulnerabilidades de lógica de autorização que exigem compreensão do contexto completo da aplicação — não apenas de um arquivo isolado

• Construir cadeias de exploração combinando falhas menores (uma race condition aqui, um IDOR ali, um bypass de validação acolá) em ataques funcionais

• Analisar código compilado e ofuscado, incluindo engenharia reversa de binários para identificar pontos de entrada

• Gerar provas de conceito funcionais — não apenas sinalizar que algo pode ser vulnerável, mas demonstrar como explorar

Isso coloca o modelo mais próximo de um pesquisador de segurança sênior do que de um linter com esteroides.

Project Glasswing: a contenção antes da abertura

A Anthropic entendeu o óbvio: um modelo que consegue encontrar zero-days com essa eficiência é uma faca de dois gumes. O Project Glasswing é a resposta — uma iniciativa para dar acesso antecipado a equipes de defesa de infraestrutura crítica, mantenedores de projetos open source amplamente utilizados, e CERTs nacionais.

A empresa não planeja disponibilizar o Mythos Preview de forma ampla no curto prazo. A restrição é proposital. O mesmo modelo que ajuda a auditar um repositório pode, em mãos erradas, automatizar a descoberta de exploits em escala industrial. O risco dual não é teórico — é a consequência direta de treinar modelos com capacidade de raciocínio profundo sobre código.

Implicações para líderes de tecnologia

Três pontos que exigem ação imediata:

1. Patch em velocidade de ciclo curto. A janela entre divulgação de CVE e exploração ativa já encolheu de semanas para dias. Com modelos capazes de gerar exploits automaticamente, essa janela vai encolher para horas. Processos de atualização trimestrais são uma sentença de morte. Se sua organização ainda depende de ciclos manuais de patch, o risco acumulado já é inaceitável.

1. Triagem automatizada com contexto. O volume de achados que ferramentas de IA vão gerar é ordens de magnitude maior do que qualquer equipe consegue processar manualmente. Sem priorização inteligente — baseada em exposição real, criticidade do ativo, e explorabilidade confirmada — o resultado é paralisia por ruído.

1. Fornecedores como extensão da estratégia de risco. Laboratórios de IA e provedores de nuvem deixaram de ser apenas fornecedores de infraestrutura. A decisão de qual modelo usar, com quais guardrails, e sob qual política de divulgação responsável, é agora uma decisão de gestão de risco. Trate como tal.

Para empresas em setores regulados, o debate não é “usar ou não IA em segurança”. É como integrar modelos com trilha de auditoria, segregação de ambientes e políticas de divulgação responsável. Esse tipo de arquitetura é exatamente o que construímos em projetos de transformação cloud e engenharia de software.

O que muda para times de SOC e programas de gestão de vulnerabilidades

Se você lidera um SOC ou é responsável por um programa de vulnerability management, prepare-se para uma mudança estrutural.

Primeiro: o volume de vulnerabilidades reportadas vai explodir. Modelos como o Mythos Preview vão alimentar pipelines de scanning que identificam classes de falhas que ferramentas atuais simplesmente ignoram. Seu backlog vai crescer. A tentação vai ser ignorar achados de baixa severidade — resista. Cadeias de exploração começam exatamente nos pontos que ninguém prioriza.

Segundo: a qualificação dos analistas precisa mudar. Analistas de SOC que sabem apenas operar playbooks pré-definidos vão perder relevância rápido. A habilidade que importa agora é saber interpretar o output de modelos de IA, validar se uma cadeia de exploração é viável no contexto específico da sua infraestrutura, e traduzir achados técnicos em decisões de negócio para a diretoria.

Terceiro: métricas tradicionais ficam obsoletas. MTTR (Mean Time to Remediate) calculado sobre CVEs públicos não captura mais o risco real. Você precisa medir cobertura de análise semântica, taxa de falsos negativos das suas ferramentas atuais versus análise assistida por IA, e tempo entre descoberta interna e correção efetiva.

Programas de vulnerability management que não incorporarem análise assistida por IA nos próximos 12 a 18 meses vão operar cegos em relação a classes inteiras de vulnerabilidades.

Onde a Uranus se posiciona

Nosso trabalho em GRC e agentes de IA já incorpora a premissa de que modelos de linguagem são parte da superfície de ataque e da superfície de defesa simultaneamente. Ajudamos organizações a construir a governança, a arquitetura e os processos para usar essas capacidades sem criar novos vetores de risco.

Leia tambem: Hack ao supercomputador da China expoe 10 PB de dados militares

Leitura recomendada na integra no blog da Anthropic: Assessing Claude Mythos Preview’s cybersecurity capabilities.