A segurança de IA está mudando de “descobrir vulnerabilidades” para “absorver vulnerabilidades”: o que os dados da Anthropic mostram?

A IA está levando a segurança de software para a fase de “infraestruturação”

O avanço mais recente do Project Glasswing, anunciado pela Anthropic, não é o fato de “quantas vulnerabilidades foram encontradas”, mas sim que a função de produção da segurança está sendo reescrita. O Claude Mythos Preview, no primeiro mês após o lançamento, já havia encontrado mais de 10.000 vulnerabilidades de alta gravidade ou críticas em instituições parceiras e em mais de 1.000 projetos open source; apenas no universo de projetos open source, foram sinalizadas 23.019 vulnerabilidades potenciais, das quais 6.202 foram estimadas como de alta gravidade ou críticas.

Esse conjunto de números significa que a própria descoberta de vulnerabilidades está deixando de ser uma tarefa altamente dependente de experiência humana, ciclos de testes de intrusão e programas de recompensa pontuais, para se tornar uma capacidade escalável, de varredura contínua e incorporável ao fluxo de desenvolvimento. Para a infraestrutura digital de hoje, isso não é apenas uma “atualização de ferramenta de segurança”, mas uma mudança na forma de governança de sistemas críticos.

O verdadeiro gargalo já passou de “encontrar” para “consertar”

A avaliação apresentada pela Anthropic na atualização é direta: no passado, o progresso da segurança de software era limitado pela velocidade de descoberta das vulnerabilidades; agora, ele é limitado pela velocidade de verificação, divulgação e correção. Essa constatação não é estranha para o setor de engenharia e infraestrutura.

Seja em sistemas de automação portuária, plataformas de despacho de redes elétricas, software de controle de transporte ferroviário ou na camada de gestão básica de data centers, o que realmente determina a janela de exposição ao risco nunca é apenas a capacidade de encontrar falhas, mas sim se a cadeia de correção consegue ser absorvida rapidamente:

• se é possível fazer a triagem sem quebrar a continuidade da produção;
• se é possível definir claramente as responsabilidades e concluir a divulgação;
• se há pessoal suficiente para projetar correções para diferentes versões e diferentes dependências;
• se é possível lançar, testar e reverter de forma sincronizada em cadeias de suprimento complexas.

A Anthropic afirma que uma vulnerabilidade de alta gravidade ou crítica leva, em média, duas semanas entre a descoberta e a correção. Essa escala de tempo parece razoável para software tradicional, mas para stacks já embutidos em infraestrutura crítica, ela ainda significa uma janela de risco relativamente longa. A IA aumentou a eficiência da descoberta, mas também concentrou a pressão sobre mantenedores, comunidades open source e equipes de segurança corporativa.

Não se trata do desempenho de um único produto, mas de um teste de estresse da cadeia global de suprimento de software

Do ponto de vista do capital de engenharia, esse evento se parece mais com um teste de estresse da cadeia global de suprimento de software. A Anthropic revelou que, entre 1.752 achados classificados como de alta gravidade ou críticos, e revisados por seis instituições independentes de pesquisa de segurança, mais de 90% foram confirmados como verdadeiros positivos, e mais de 62% deles foram confirmados como realmente de alta gravidade ou críticos. Isso mostra que os modelos frontier já possuem uma eficácia bastante alta em varreduras em larga escala.Alguns resultados divulgados por parceiros também mostram que a taxa de descoberta de vulnerabilidades deu um salto de ordem de grandeza: a Cloudflare identificou cerca de 2.000 vulnerabilidades em sistemas críticos de caminho, das quais 400 foram classificadas como de alto risco ou críticas; a Mozilla, por sua vez, corrigiu 271 vulnerabilidades no Firefox 150 durante o processo de testes, significativamente acima do volume de descobertas em versões anteriores com a ajuda de modelos iniciais.

O ponto em comum entre esses casos é: a IA não está apenas ajudando a “encontrar bugs”, mas redefinindo o ritmo de manutenção de software das empresas. Para grandes plataformas digitais, provedores de nuvem, fabricantes de navegadores e operadores de infraestrutura crítica, essa capacidade equivale a elevar a auditoria de segurança de verificações por amostragem para inspeções contínuas.

Para o setor de infraestrutura, a segurança de código está se tornando uma “obra pública invisível”

Na última década, a digitalização da infraestrutura se manifestou primeiro na conexão em rede de sistemas de controle, sistemas de bilhetagem, gestão de energia, plataformas logísticas e sistemas centrais urbanos. Hoje, o significado da segurança de software já se expandiu de um assunto interno do departamento de TI para uma forma de capacidade de obra pública invisível.

A razão está no fato de que o funcionamento de cada vez mais “infraestruturas físicas” depende de software:

• a distribuição de contêineres em portos depende de sistemas operacionais, bancos de dados e protocolos de comunicação;
• sistemas ferroviários de sinalização, controle de trens e gestão de ativos dependem de pilhas complexas de software;
• redes elétricas e instalações de armazenamento de energia dependem de monitoramento remoto e controle de borda;
• data centers dependem de virtualização, autenticação de identidade e sistemas de gestão de patches;
• sistemas de serviços públicos urbanos dependem de componentes open source de terceiros.

Quando a IA consegue descobrir defeitos nesses sistemas com maior velocidade, o que o setor enxerga não é um abstrato “progresso em cibersegurança”, mas sim o aumento simultâneo da pressão fiscal, organizacional e operacional sobre a governança da infraestrutura digital. Em outras palavras, a resiliência de longo prazo da infraestrutura depende cada vez mais do elo mais fraco da cadeia de suprimento de software.

A velocidade de correção está se tornando uma nova variável competitiva

A Anthropic revelou que alguns parceiros solicitaram que a divulgação de vulnerabilidades fosse desacelerada, porque precisavam de mais tempo para projetar patches. A empresa passou então, em alguns casos, a divulgar vulnerabilidades sem verificação prévia, para se alinhar às exigências dos mantenedores.

O significado disso para o setor é claro: quando a velocidade de descoberta de vulnerabilidades supera a capacidade de correção da comunidade e das empresas, a governança de segurança deixa de ser sobre “escassez de descoberta” e passa a ser sobre “escassez de absorção”. Isso é muito semelhante à lógica comum em investimentos em infraestrutura — o projeto não é travado por falta de demanda, mas porque a capacidade de aprovação, financiamento, construção e conexão à rede não acompanha.

No mundo do software, a nova restrição já não é a capacidade de varredura, mas sim:

1. se os mantenedores conseguem absorver o fluxo de informações; 2. se as empresas conseguem priorizar rapidamente; 3. se os fornecedores conseguem lançar versões corrigidas de forma contínua; 4. se as instituições dispõem de visibilidade de ativos em toda a cadeia.Esta também é a razão pela qual a Anthropic levou o Claude Security à versão beta pública e abriu o Cyber Verification Program: o que o mercado corporativo realmente precisa já não são apenas modelos mais poderosos, mas ferramentas de governança, limites de permissão e mecanismos de verificação adequados.

Os problemas de segurança do software crítico são, em essência, um problema sistêmico de interconectividade global

Há ainda um detalhe digno de nota no caso da Anthropic: seu modelo ajudou a identificar e impedir uma transferência eletrônica fraudulenta de 1,5 milhão de dólares, envolvendo a invasão do e-mail de um cliente de um banco não identificado. Este exemplo mostra que as consequências de vulnerabilidades e ataques há muito deixaram de se limitar ao próprio produto de software e podem se espalhar rapidamente para transações financeiras, autenticação de contas e continuidade operacional.

Esse é justamente o ponto de conexão mais importante entre a segurança de software crítico e a segurança de infraestrutura. Uma vulnerabilidade negligenciada em uma biblioteca de código aberto pode, no fim, afetar bancos, aeroportos, portos, empresas de energia e até plataformas de serviços governamentais. Quanto mais profunda é a interconectividade global, maior é a externalidade de uma falha pontual.

Nesse sentido, a maturação das capacidades de segurança de IA promoverá duas mudanças paralelas:

• Por um lado, empresas e governos darão mais atenção à governança de dependências, ao ritmo de aplicação de patches e ao inventário de ativos;
• Por outro, instituições com capacidades de segurança mais fortes obterão um prêmio de risco sistêmico menor.

Isso se aproxima bastante da lógica do financiamento de projetos: quanto mais cedo o risco é identificado, mais controlável é o custo de capital; quanto mais transparente é a governança, mais estável é a operação de longo prazo.

Implicações para o capital de engenharia do futuro

Se colocarmos esse avanço da Anthropic em uma visão mais ampla de infraestrutura, ele corresponde ao fato de o capital global de engenharia estar entrando em uma fase de “prioridade para a base digital”. Hoje, qualquer novo projeto — seja porto, ferrovia, data center ou sistema de utilidades urbanas — depende cada vez mais de stacks de software, plataformas em nuvem e sistemas de controle remoto.

Isso significa que a due diligence em investimentos de infraestrutura, no futuro, deixará de se concentrar apenas em geologia, construção, conexão à rede e cláusulas contratuais, passando a considerar cada vez mais:

• se a cadeia de dependências de software é rastreável;
• se o fornecedor tem capacidade contínua de aplicar patches;
• se existem componentes de código aberto expostos e sem correção por longo tempo;
• se o sistema de controle possui privilégio mínimo e capacidade rápida de isolamento;
• se a empresa do projeto estabeleceu processos de governança de segurança adequados à era da IA.

Nesse nível, o que a Anthropic demonstrou não é uma tecnologia isolada de segurança em IA, mas uma tendência mais ampla: a competição em infraestrutura está se estendendo para a camada de código, a camada de protocolos e a camada de atualização. Quem conseguir detectar problemas, verificar problemas e corrigi-los mais rapidamente estará mais perto de uma verdadeira resiliência sistêmica.

ConclusãoMythos Preview descobriu mais de 10.000 vulnerabilidades de alta gravidade ou críticas, o que, claro, representa uma mudança de patamar na capacidade de segurança da IA. Mas, mais importante, isso revela uma realidade do setor: em software crítico e infraestrutura digital, o recurso mais escasso já não é “enxergar riscos”, e sim a capacidade organizacional de “lidar com riscos”.

Para empresas de engenharia, operadores de infraestrutura, departamentos de digitalização governamental e instituições de investimento, essa mudança afetará diretamente a entrega de projetos, a operação de ativos e o custo de capital de longo prazo. Nos próximos anos, a competição em infraestrutura não será apenas entre aço, cimento, ferrovias e redes elétricas, mas também entre velocidade de correção, visibilidade da cadeia de suprimentos e resiliência do sistema.

Descrição SEO

A Anthropic anunciou que o Claude Mythos Preview descobriu mais de 10.000 vulnerabilidades de alta gravidade ou críticas em um mês, mostrando que a IA está levando a segurança de software de uma fase de “descoberta de vulnerabilidades” para uma nova fase de “absorção de vulnerabilidades”. Este artigo, a partir das perspectivas de infraestrutura global, cadeia de suprimentos digital e governança de projetos, analisa o impacto de longo prazo dessa mudança sobre portos, redes elétricas, data centers, transporte ferroviário e capital de engenharia.

URL da fonte de informação

https://opentools.ai/news/anthropic-mythos-finds-10000-flaws