Project Glasswing une gigantes da tecnologia para transformar cybersecurity com IA que supera humanos na caça a vulnerabilidades
O Project Glasswing chegou com uma das revelações mais impactantes dos últimos anos para o mundo da cybersecurity: uma IA capaz de superar praticamente qualquer humano na tarefa de encontrar e explorar falhas de segurança em software.
Não é hype.
É o que a Anthropic e uma coalizão de gigantes da tecnologia estão afirmando publicamente, com evidências concretas para embasar cada palavra.
O modelo em questão é o Claude Mythos Preview, uma versão frontier ainda não lançada ao público, que já identificou milhares de vulnerabilidades zero-day críticas em praticamente todos os sistemas operacionais e navegadores mais usados no mundo.
Para ter uma ideia do peso disso, algumas dessas falhas sobreviveram por décadas sem serem detectadas, passando por revisões humanas e por milhões de testes automatizados sem que ninguém as encontrasse.
O que mudou agora?
A resposta curta é: a inteligência artificial chegou a um nível de sofisticação que redefine completamente as regras do jogo, tanto para quem ataca quanto para quem defende sistemas digitais.
E é exatamente por isso que nomes como AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, Broadcom, NVIDIA, Palo Alto Networks, JPMorganChase e a Linux Foundation estão do mesmo lado da mesa, unidos em torno de uma iniciativa que mistura urgência real com uma ambição bastante clara:
Colocar esse poder nas mãos de quem defende antes que ele chegue nas mãos de quem ataca. 🛡️
O que é o Project Glasswing e por que ele importa tanto
O Project Glasswing não é apenas mais um programa de pesquisa de segurança. Ele representa uma virada de chave na forma como a indústria de tecnologia enxerga o papel da IA dentro do ecossistema de cybersecurity. A iniciativa foi estruturada com um objetivo central muito bem definido: usar modelos de linguagem de última geração para encontrar, catalogar e corrigir vulnerabilidades antes que agentes maliciosos possam explorá-las.
O que torna o projeto diferente de tudo que já foi tentado antes é a escala, a velocidade e, principalmente, a profundidade técnica com que o Claude Mythos Preview consegue operar nesses ambientes. A Anthropic formou esse consórcio após observar capacidades no modelo que, segundo a empresa, têm o potencial de reformular completamente o cenário da cybersecurity global.
Durante os testes conduzidos no âmbito do projeto, o Claude Mythos Preview foi exposto a codebases reais, sistemas legados e infraestruturas críticas que estavam em produção há anos — em alguns casos, décadas. O modelo não apenas identificou falhas conhecidas com uma precisão fora do comum, mas descobriu categorias inteiras de vulnerabilidades que simplesmente não estavam no radar dos times de segurança humanos.
- E-BOOK GRATUITO
Um guia prático para avaliar, comparar e implementar inteligência artificial com clareza — sem desperdício de tempo ou dinheiro.
Pare de contratar ferramentas sem direção. Criamos um método estruturado para decidir qual IA realmente faz sentido para o seu negócio.
Entrega em PDF no seu e-mail · Sem spam · LGPD
🔒 Seus dados são protegidos conforme a LGPD. Você pode descadastrar a qualquer momento.
Isso inclui falhas em camadas de memória, comportamentos inesperados em estados de concorrência e vetores de ataque que dependem de interações muito específicas entre diferentes partes de um sistema. Esse é o tipo de coisa que qualquer revisor humano levaria semanas para mapear, e ainda assim poderia deixar passar.
O que chama ainda mais atenção é o fato de que o Project Glasswing não foi pensado para operar de forma isolada. A ideia central é criar uma camada de inteligência contínua que funcione como um parceiro ativo dos times de segurança, ampliando a capacidade humana em vez de substituí-la. Isso muda completamente a dinâmica do trabalho de quem atua com defesa digital, porque significa que analistas e engenheiros de segurança passam a ter acesso a um sistema que pensa junto com eles, sugere hipóteses, prioriza ameaças e ainda documenta tudo de forma estruturada para facilitar o processo de remediação. 🔍
Claude Mythos Preview e a nova fronteira das vulnerabilidades críticas
Quando a Anthropic fala que o Claude Mythos Preview consegue superar humanos na identificação de vulnerabilidades, não está falando de uma margem pequena. Os benchmarks internos do projeto mostram que o modelo consegue processar e analisar volumes de código que seriam impossíveis para qualquer equipe humana revisar em tempo hábil, e faz isso com uma taxa de detecção que consistentemente ultrapassa os resultados de times especializados em segurança ofensiva.
Esse dado sozinho já seria suficiente para chamar atenção, mas o que realmente impressiona é a natureza das falhas que estão sendo encontradas.
Exemplos concretos que demonstram o poder do modelo
A Anthropic divulgou três casos específicos que ilustram bem o nível de profundidade técnica do Claude Mythos Preview:
- Vulnerabilidade de 27 anos no OpenBSD — O modelo encontrou uma falha em um dos sistemas operacionais com a reputação de ser um dos mais seguros do mundo, amplamente utilizado para rodar firewalls e outras infraestruturas críticas. Essa vulnerabilidade permitia que um atacante derrubasse remotamente qualquer máquina rodando o sistema apenas se conectando a ela.
- Vulnerabilidade de 16 anos no FFmpeg — Essa biblioteca é usada por incontáveis softwares para codificar e decodificar vídeo. O bug encontrado pelo Mythos Preview estava em uma linha de código que ferramentas automatizadas de teste haviam atingido cinco milhões de vezes sem nunca capturar o problema.
- Cadeia de exploits no kernel Linux — O modelo encontrou e encadeou de forma autônoma múltiplas vulnerabilidades no kernel Linux, o software que roda a maioria dos servidores do mundo, permitindo que um atacante escalasse de acesso comum de usuário para controle total da máquina.
Todas essas vulnerabilidades já foram reportadas aos mantenedores responsáveis e devidamente corrigidas. Para muitas outras descobertas, a Anthropic está publicando hashes criptográficos dos detalhes no blog do Frontier Red Team, com a intenção de revelar as especificidades após os patches serem aplicados.
Parte significativa das vulnerabilidades identificadas pelo Claude Mythos Preview existia em sistemas que passaram por centenas de auditorias ao longo dos anos. Algumas delas estavam enterradas em dependências de terceiros, em bibliotecas open source amplamente utilizadas e em camadas de abstração que ninguém costumava revisar com profundidade porque pareciam estáveis o suficiente. O modelo chegou nessas falhas através de uma abordagem que combina raciocínio sobre o comportamento esperado do sistema com uma exploração sistemática de estados limítrofes — exatamente onde os bugs mais perigosos costumam se esconder.
Além disso, o Claude Mythos Preview demonstrou uma capacidade que vai além da simples detecção: ele consegue simular caminhos de exploração completos. Ou seja, não apenas aponta que uma falha existe, mas também modela como um agente externo poderia utilizá-la para comprometer um sistema. Esse nível de análise é o que os profissionais de cybersecurity chamam de threat modeling, uma habilidade que normalmente exige anos de experiência prática para ser desenvolvida por um analista humano. Ter isso disponível em escala, operando continuamente e sem fadiga, é uma mudança de paradigma real para a área. 🚨
O que os parceiros estão dizendo sobre o modelo
Os parceiros do Project Glasswing já tiveram acesso ao Claude Mythos Preview por algumas semanas, e as primeiras impressões compartilhadas publicamente reforçam a magnitude do que está acontecendo.
A Cisco destacou que as capacidades de IA cruzaram um limiar que muda fundamentalmente a urgência necessária para proteger infraestruturas críticas contra ameaças cibernéticas, afirmando que os velhos métodos de endurecimento de sistemas já não são mais suficientes.
A AWS revelou que já está testando o Mythos Preview em suas próprias operações de segurança, aplicando-o a codebases críticos, onde o modelo já está ajudando a fortalecer o código. A empresa analisa mais de 400 trilhões de fluxos de rede por dia em busca de ameaças, e a IA é central para essa capacidade de defesa em escala.
A Microsoft, por sua vez, compartilhou que quando testado contra o CTI-REALM, seu benchmark de segurança open source, o Claude Mythos Preview mostrou melhorias substanciais em comparação com modelos anteriores.
A CrowdStrike trouxe um alerta direto: a janela entre uma vulnerabilidade ser descoberta e ser explorada por um adversário colapsou — o que antes levava meses agora acontece em minutos com IA.
A Linux Foundation enfatizou um ponto crucial: a segurança sempre foi um luxo reservado para organizações com grandes equipes. Mantenedores de open source, cujo software sustenta boa parte da infraestrutura crítica mundial, historicamente ficaram sozinhos para resolver questões de segurança. O Project Glasswing oferece um caminho real para mudar essa equação.
A Palo Alto Networks chamou atenção para o fato de que o modelo conseguiu identificar vulnerabilidades complexas que gerações anteriores de modelos simplesmente não detectaram, e alertou que todos precisam se preparar para atacantes assistidos por IA — serão mais ataques, mais rápidos e mais sofisticados.
A coalizão por trás da iniciativa e o que está em jogo
Quando empresas como AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, Broadcom, NVIDIA, Palo Alto Networks, JPMorganChase e a Linux Foundation se juntam em torno de uma mesma iniciativa, o mercado presta atenção. E nesse caso, faz muito bem em prestar.
Cada uma dessas organizações chegou ao Project Glasswing com interesses legítimos e muito concretos: todas elas operam infraestruturas críticas que são alvo constante de ataques sofisticados, e todas elas sabem que a velocidade com que o cenário de ameaças evolui está superando a capacidade de resposta humana. A IA não é mais uma aposta no futuro nesse contexto. É uma necessidade presente.
A participação dessas empresas também traz algo que vai além do financiamento e do prestígio. Cada uma delas contribuiu com acesso a sistemas reais, dados de incidentes passados e infraestrutura de teste que seria impossível replicar em um laboratório convencional. Isso significa que o Claude Mythos Preview não foi treinado e avaliado em ambientes artificiais, mas sim exposto às mesmas condições complexas, ruidosas e imprevisíveis que existem nos sistemas que qualquer usuário comum utiliza todos os dias — seja navegando na internet, usando um aplicativo bancário ou simplesmente ligando o computador.
Além dos parceiros principais, a Anthropic estendeu o acesso a um grupo de mais de 40 organizações adicionais que constroem ou mantêm infraestrutura de software crítica, para que possam usar o modelo para escanear e proteger sistemas proprietários e open source.
Do ponto de vista estratégico, o que está em jogo é a disputa pelo controle da narrativa de como a IA vai se inserir no mundo da cybersecurity. Porque essa inserção já está acontecendo, com ou sem estrutura. Grupos mal-intencionados já utilizam modelos de linguagem para automatizar ataques, criar phishing mais convincente e acelerar a exploração de vulnerabilidades conhecidas. O Project Glasswing é, em essência, uma resposta organizada e de alto nível a essa realidade, com a ambição clara de garantir que a defesa chegue na vanguarda tecnológica antes que o ataque consolide essa posição. ⚔️
O investimento por trás do projeto e os planos para o futuro
A Anthropic está colocando recursos significativos na mesa para garantir que o Project Glasswing tenha fôlego de longo prazo. A empresa comprometeu até 100 milhões de dólares em créditos de uso para o Claude Mythos Preview entre os parceiros e participantes adicionais. Além disso, destinou 4 milhões de dólares em doações diretas para organizações de segurança open source — sendo 2,5 milhões para Alpha-Omega e OpenSSF através da Linux Foundation, e 1,5 milhão para a Apache Software Foundation.
Após o período de pesquisa inicial coberto pelos créditos, o Claude Mythos Preview ficará disponível para os participantes a 25 dólares por milhão de tokens de entrada e 125 dólares por milhão de tokens de saída. Os participantes podem acessar o modelo pela API da Claude, pelo Amazon Bedrock, pelo Vertex AI do Google Cloud e pelo Microsoft Foundry.
A Anthropic também definiu um cronograma claro de transparência: dentro de 90 dias, a empresa vai publicar um relatório sobre o que foi aprendido, incluindo vulnerabilidades corrigidas e melhorias realizadas que possam ser divulgadas. Os parceiros também vão compartilhar informações e melhores práticas entre si na medida do possível.
Áreas de foco para as recomendações do projeto
Como parte dos resultados do Project Glasswing, a Anthropic pretende colaborar com organizações líderes em segurança para produzir recomendações práticas sobre como as práticas de segurança devem evoluir na era da IA. As áreas incluem:
Receba o melhor conteúdo de inovação em seu e-mail
Todas as notícias, dicas, tendências e recursos que você procura entregues na sua caixa de entrada.
Ao assinar a newsletter, você concorda em receber comunicações da Método Viral. A gente se compromete a sempre proteger e respeitar sua privacidade.
- Processos de divulgação de vulnerabilidades
- Processos de atualização de software
- Segurança de open source e cadeia de suprimentos
- Ciclo de desenvolvimento de software e práticas de design seguro
- Padrões para indústrias reguladas
- Escala e automação de triagem
- Automação de patches
A empresa informou que não planeja tornar o Claude Mythos Preview disponível ao público geral. O objetivo eventual é permitir que os usuários possam usar modelos da classe Mythos em escala e de forma segura, tanto para cybersecurity quanto para outros fins. Para isso, a Anthropic precisa avançar no desenvolvimento de salvaguardas que detectem e bloqueiem as saídas mais perigosas do modelo. Novas proteções devem ser lançadas com uma versão futura do Claude Opus, permitindo refinamento com um modelo que não apresente o mesmo nível de risco que o Mythos Preview.
O contexto mais amplo: por que a cybersecurity nunca mais será a mesma
O software que todos nós usamos diariamente — responsável por rodar sistemas bancários, armazenar prontuários médicos, manter redes logísticas funcionando e garantir que usinas de energia continuem operando — sempre teve bugs. Muitos são pequenos, mas alguns representam falhas de segurança graves que, se descobertas, podem permitir que atacantes sequestrem sistemas, interrompam operações ou roubem dados.
Os custos financeiros globais do cibercrime são difíceis de estimar com precisão, mas podem chegar a algo em torno de 500 bilhões de dólares por ano. E esse é apenas o componente financeiro — os impactos em segurança pública, saúde, infraestrutura crítica e soberania nacional são incalculáveis.
Até recentemente, encontrar e explorar essas falhas exigia uma expertise que pouquíssimas pessoas no mundo possuíam. Com os modelos frontier mais recentes de IA, o custo, o esforço e o nível de expertise necessários para encontrar e explorar vulnerabilidades de software caíram dramaticamente. Ao longo do último ano, modelos de IA se tornaram cada vez mais eficazes em ler e raciocinar sobre código, mostrando uma capacidade notável de identificar vulnerabilidades e descobrir formas de explorá-las.
Dez anos depois do primeiro DARPA Cyber Grand Challenge, modelos frontier de IA estão se tornando competitivos com os melhores humanos em encontrar e explorar vulnerabilidades. Sem as salvaguardas necessárias, essas capacidades poderosas poderiam ser usadas para explorar as muitas falhas existentes nos softwares mais importantes do mundo, tornando ciberataques de todos os tipos muito mais frequentes e destrutivos.
A Anthropic também revelou que tem mantido conversas contínuas com autoridades do governo dos Estados Unidos sobre o Claude Mythos Preview e suas capacidades ofensivas e defensivas. A empresa reforça que proteger infraestruturas críticas é uma prioridade de segurança nacional para países democráticos, e que a emergência dessas capacidades é mais uma razão para que os EUA e seus aliados mantenham uma liderança decisiva em tecnologia de IA. 🌐
O que muda na prática para quem trabalha com segurança digital
Para os profissionais que atuam diretamente com cybersecurity, o Project Glasswing e o Claude Mythos Preview representam tanto uma oportunidade quanto um sinal de alerta. A oportunidade está clara: ter acesso a uma ferramenta que amplifica significativamente a capacidade de detecção, análise e resposta a ameaças é algo que qualquer time de segurança aproveitaria sem hesitar.
O sinal de alerta vem da velocidade com que essa tecnologia está avançando e da necessidade de que as equipes evoluam junto com ela. Entender como interpretar as saídas do modelo, como validar as hipóteses que ele levanta e como integrar esse tipo de inteligência nos fluxos de trabalho existentes sem criar gargalos ou dependências excessivas são habilidades que vão se tornar indispensáveis.
Na dimensão mais prática, o que o Claude Mythos Preview está demonstrando dentro do projeto é que o ciclo de descoberta e remediação de vulnerabilidades pode ser drasticamente comprimido. Processos que costumavam levar semanas entre a detecção de uma falha, a avaliação do seu impacto, a priorização dentro do backlog e a implementação de uma correção podem ser acelerados de forma significativa quando uma IA entra no loop com capacidade de raciocinar sobre o problema em múltiplas camadas simultaneamente. Isso não elimina a necessidade de julgamento humano, mas transforma profundamente o papel do analista dentro desse processo.
As tarefas previstas para o trabalho dos parceiros incluem detecção local de vulnerabilidades, testes black box de binários, proteção de endpoints e testes de penetração de sistemas — todas áreas onde a escala e a velocidade do modelo podem fazer uma diferença real.
Em resumo, o que o Project Glasswing está sinalizando é que a era da cybersecurity reativa — aquela em que os times de defesa ficam sempre um passo atrás dos atacantes — pode finalmente estar chegando ao fim. E se o Claude Mythos Preview entregar em produção o que está entregando nos testes, o mercado de segurança digital vai precisar se reorganizar rapidamente em torno de uma nova realidade: a de que a melhor ferramenta de ataque disponível agora também é a melhor ferramenta de defesa. 🔐
