Projeto Glasswing: a maior iniciativa de cybersegurança da era da IA reúne gigantes da tecnologia para proteger o software que sustenta o mundo
Cybersegurança nunca foi um tema tão urgente quanto agora.
A inteligência artificial chegou a um ponto em que consegue fazer o que só os melhores especialistas humanos faziam, e faz isso de forma autônoma, em escala e em velocidade que nenhum time de segurança consegue acompanhar. Durante anos, a ideia de que uma máquina pudesse superar a capacidade analítica de um engenheiro de segurança sênior soava como ficção científica. Hoje, essa realidade já está acontecendo, e ela não chegou avisando.
É exatamente esse cenário que motivou o nascimento do Projeto Glasswing, uma iniciativa que reúne alguns dos maiores nomes da tecnologia mundial — AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, NVIDIA, Broadcom, JPMorganChase, Palo Alto Networks e Linux Foundation — liderados pela Anthropic, para enfrentar de frente um problema que está crescendo mais rápido do que as defesas tradicionais conseguem responder. O nome do projeto já diz muito sobre a proposta: glasswing, a borboleta de asas transparentes, representa a ideia de tornar visível o que estava escondido, iluminar o que estava nas sombras, trazer à superfície vulnerabilidades que o olho humano simplesmente não conseguia enxergar.
No centro de tudo isso está o Claude Mythos Preview, um modelo de fronteira ainda não lançado publicamente que já encontrou milhares de vulnerabilidades zero-day de alta severidade em todos os principais sistemas operacionais e navegadores do mundo. Falhas que sobreviveram por décadas sem que nenhum humano, e nem milhões de testes automatizados, conseguissem detectar. E o ponto mais importante aqui não é apenas o que esse modelo encontrou, mas o que essa descoberta representa para o futuro da segurança digital.
Se a IA já chegou nesse nível, a pergunta que fica é: quem vai chegar primeiro às próximas vulnerabilidades, os defensores ou os atacantes? É essa corrida que o Projeto Glasswing quer vencer, e o que está em jogo vai muito além de linhas de código. 🔐
O que o Projeto Glasswing realmente propõe
A proposta central do Projeto Glasswing vai além de uma simples parceria entre empresas de tecnologia. O que está sendo construído aqui é uma infraestrutura colaborativa de defesa cibernética alimentada por inteligência artificial, onde o objetivo não é apenas encontrar falhas, mas criar um ecossistema capaz de identificar, classificar, priorizar e reportar vulnerabilidades em software crítico de forma contínua e em escala global. Isso representa uma mudança de paradigma profunda na forma como o setor pensa a segurança digital, saindo do modelo reativo para um modelo essencialmente proativo.
Durante décadas, a lógica da cybersegurança foi basicamente essa: alguém descobre uma falha, reporta, um patch é desenvolvido, e o ciclo recomeça. O problema é que esse ciclo sempre foi lento demais, especialmente quando se considera que os agentes maliciosos também evoluíram. Com ferramentas de IA disponíveis no mercado, ataques automatizados, exploração em massa de vulnerabilidades conhecidas e até descoberta autônoma de novas falhas por atores hostis já são realidade documentada. O Glasswing surge justamente para inverter essa equação, colocando a capacidade de descoberta proativa no lado dos defensores.
O modelo Claude Mythos Preview, desenvolvido pela Anthropic, é o motor principal dessa iniciativa. Diferente de ferramentas convencionais de análise estática de código ou fuzzing tradicional, esse modelo consegue raciocinar sobre o comportamento do software em um nível mais profundo, identificando padrões que escapam completamente das abordagens automatizadas existentes. Os primeiros resultados já foram surpreendentes: vulnerabilidades em sistemas operacionais amplamente utilizados e em navegadores que compõem a espinha dorsal da internet moderna, falhas que existiam há anos, algumas por décadas, sem nunca terem sido detectadas. Isso não é um detalhe menor. É uma evidência concreta de que a IA está operando em um nível de análise completamente diferente do que havia antes.
Os parceiros e o investimento por trás da iniciativa
A lista de parceiros de lançamento do Projeto Glasswing é impressionante por si só: Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA e Palo Alto Networks. Cada uma dessas organizações traz para a mesa uma expertise específica que complementa as demais, desde provedores de infraestrutura em nuvem até líderes em segurança de rede, passando por mantenedores de código aberto e instituições financeiras de escala global.
Mas o consórcio não para nos parceiros de lançamento. A Anthropic também estendeu o acesso ao Claude Mythos Preview para um grupo de mais de 40 organizações adicionais que constroem ou mantêm software de infraestrutura crítica. Essas organizações podem usar o modelo para escanear e proteger tanto sistemas proprietários quanto projetos de código aberto, o que amplia significativamente o alcance defensivo do projeto.
Do ponto de vista financeiro, a Anthropic está comprometendo até 100 milhões de dólares em créditos de uso para o Claude Mythos Preview ao longo desses esforços. Além disso, a empresa fez doações diretas de 2,5 milhões de dólares para a Alpha-Omega e a OpenSSF através da Linux Foundation, e 1,5 milhão de dólares para a Apache Software Foundation, totalizando 4 milhões de dólares em doações diretas para organizações de segurança de código aberto. Esse investimento é particularmente importante porque muitos dos softwares mais críticos do mundo são mantidos por comunidades open source com recursos limitados, e historicamente essas comunidades ficaram sozinhas na hora de lidar com questões de segurança.
- E-BOOK GRATUITO
Um guia prático para avaliar, comparar e implementar inteligência artificial com clareza — sem desperdício de tempo ou dinheiro.
Pare de contratar ferramentas sem direção. Criamos um método estruturado para decidir qual IA realmente faz sentido para o seu negócio.
Entrega em PDF no seu e-mail · Sem spam · LGPD
🔒 Seus dados são protegidos conforme a LGPD. Você pode descadastrar a qualquer momento.
Após o período de pesquisa inicial, o Claude Mythos Preview ficará disponível para os participantes a um custo de 25 dólares por milhão de tokens de entrada e 125 dólares por milhão de tokens de saída, com acesso pela API do Claude, Amazon Bedrock, Vertex AI do Google Cloud e Microsoft Foundry. 💰
As vulnerabilidades que o Claude Mythos Preview já encontrou
Os resultados práticos do Claude Mythos Preview são o que realmente chamam a atenção nessa história toda. Nas últimas semanas, o modelo foi usado para identificar milhares de vulnerabilidades zero-day, ou seja, falhas que eram completamente desconhecidas pelos desenvolvedores dos softwares afetados. Muitas dessas vulnerabilidades são classificadas como críticas e afetam todos os principais sistemas operacionais e navegadores, além de uma série de outros softwares amplamente utilizados.
Três exemplos específicos ilustram bem o que estamos falando:
- Uma falha de 27 anos no OpenBSD: O OpenBSD é conhecido como um dos sistemas operacionais mais blindados do mundo em termos de segurança e é amplamente usado para rodar firewalls e outras infraestruturas críticas. O Mythos Preview encontrou uma vulnerabilidade que permitia a um atacante derrubar remotamente qualquer máquina rodando o sistema simplesmente conectando-se a ela. Vinte e sete anos sem ninguém perceber.
- Uma falha de 16 anos no FFmpeg: O FFmpeg é uma biblioteca essencial usada por incontáveis softwares para codificar e decodificar vídeo. A vulnerabilidade estava em uma linha de código que ferramentas de teste automatizado haviam processado cinco milhões de vezes sem jamais identificar o problema. Cinco milhões de execuções, nenhuma detecção, até que o Mythos Preview analisou o código.
- Escalonamento de privilégios no kernel Linux: O modelo encontrou e encadeou de forma autônoma diversas vulnerabilidades no kernel do Linux, o software que roda na maioria dos servidores do mundo, permitindo que um atacante escalasse de acesso comum de usuário para controle total da máquina. E fez isso sem nenhum direcionamento humano.
Todas essas vulnerabilidades já foram reportadas aos mantenedores dos respectivos softwares e já foram corrigidas. Para muitas outras falhas descobertas, a Anthropic publicou hashes criptográficos dos detalhes no blog do Frontier Red Team, e revelará as especificidades completas assim que as correções estiverem implementadas. O fato de que o modelo conseguiu identificar quase todas essas vulnerabilidades e desenvolver exploits relacionados de forma totalmente autônoma, sem direcionamento humano, é o dado que mais impressiona nessa equação. 🤖
Por que o software crítico é o alvo prioritário
Quando falamos em software crítico, estamos falando de sistemas que afetam diretamente a vida de bilhões de pessoas: sistemas operacionais, navegadores, bibliotecas de código aberto amplamente distribuídas, infraestruturas de nuvem, plataformas de comunicação e sistemas financeiros. Uma única vulnerabilidade nesse tipo de software pode ter um efeito cascata imenso, comprometendo não apenas um usuário ou uma empresa, mas toda uma cadeia de dependências tecnológicas.
Os custos globais do cibercrime são difíceis de estimar com precisão, mas dados indicam que podem estar na faixa de 500 bilhões de dólares por ano. E as consequências vão muito além do financeiro. Já vimos ataques sérios comprometendo redes corporativas, sistemas de saúde, infraestrutura energética como o caso do Colonial Pipeline, aeroportos, e a segurança da informação de agências governamentais em diversos países. Ataques patrocinados por estados, vindos de atores como China, Irã, Coreia do Norte e Rússia, ameaçam comprometer a infraestrutura que sustenta tanto a vida civil quanto a prontidão militar. Mesmo ataques menores, direcionados a hospitais individuais ou escolas, causam danos econômicos substanciais, expõem dados sensíveis e podem colocar vidas em risco.
O Projeto Glasswing entende que proteger esse tipo de software é uma prioridade de ordem diferente. Não estamos falando de proteger um aplicativo ou um serviço específico. Estamos falando de proteger os alicerces sobre os quais toda a infraestrutura digital moderna foi construída. E é por isso que o consórcio formado pelo projeto reúne justamente as empresas que desenvolvem, mantêm e distribuem esses sistemas.
A lógica aqui é simples e poderosa ao mesmo tempo: se você consegue identificar e corrigir vulnerabilidades em software crítico antes que agentes maliciosos as encontrem e as explorem, você efetivamente muda o equilíbrio de poder na guerra cibernética. E com um modelo de IA capaz de analisar milhões de linhas de código em tempo que seria impossível para qualquer equipe humana, essa identificação proativa deixa de ser um objetivo ambicioso e passa a ser uma realidade operacional.
O que os parceiros estão dizendo sobre os resultados
Os parceiros que já tiveram acesso ao Claude Mythos Preview nas últimas semanas compartilharam impressões que reforçam a gravidade do momento e a relevância do projeto.
O CEO da Cisco destacou que as capacidades da IA cruzaram um limite que muda fundamentalmente a urgência necessária para proteger a infraestrutura crítica, e que não há como voltar atrás. Segundo ele, o trabalho inicial com esses modelos mostrou que é possível identificar e corrigir vulnerabilidades de segurança em hardware e software em um ritmo e escala que antes eram impossíveis.
A AWS ressaltou que suas equipes analisam mais de 400 trilhões de fluxos de rede por dia em busca de ameaças, e que a IA é central para sua capacidade de defesa em escala. Eles já estão testando o Mythos Preview em suas próprias operações de segurança e aplicando-o a bases de código críticas.
A Microsoft mencionou que, quando testado contra o CTI-REALM, seu benchmark de segurança de código aberto, o Claude Mythos Preview mostrou melhorias substanciais em comparação com modelos anteriores. Igor Tsyganskiy, VP Executivo de Cybersegurança e Microsoft Research, enfatizou a oportunidade sem precedentes de usar IA de forma responsável para melhorar a segurança e reduzir riscos em escala.
A CrowdStrike apontou que a janela entre a descoberta de uma vulnerabilidade e sua exploração por um adversário colapsou completamente: o que antes levava meses agora acontece em minutos com IA. George Kurtz, presidente da empresa, destacou que o Mythos Preview demonstra o que agora é possível para defensores em escala, e que os adversários inevitavelmente buscarão explorar as mesmas capacidades.
A Palo Alto Networks confirmou que, nas últimas semanas, usou o modelo para identificar vulnerabilidades complexas que modelos de gerações anteriores simplesmente não conseguiam encontrar. E fez um alerta direto: todos precisam se preparar para atacantes assistidos por IA, porque haverá mais ataques, ataques mais rápidos e ataques mais sofisticados.
A importância do código aberto nessa equação
Um aspecto fundamental do Projeto Glasswing que merece destaque especial é a atenção dedicada ao ecossistema open source. Jim Zemlin, diretor executivo da Linux Foundation, colocou a questão de forma direta: historicamente, a expertise em segurança foi um luxo reservado a organizações com grandes equipes de segurança, enquanto mantenedores de código aberto, cujo software serve de base para boa parte da infraestrutura crítica mundial, foram deixados para resolver a segurança por conta própria.
Considerando que software de código aberto compõe a vasta maioria do código em sistemas modernos, incluindo os próprios sistemas que agentes de IA usam para escrever novo software, dar acesso a esses mantenedores a modelos de IA capazes de identificar e corrigir vulnerabilidades proativamente e em escala representa uma mudança real na equação. A segurança aumentada por IA pode se tornar um aliado confiável para cada mantenedor, não apenas para quem pode pagar por equipes de segurança caras.
É por isso que as doações para a Alpha-Omega, OpenSSF e Apache Software Foundation, somadas ao programa Claude for Open Source para mantenedores que quiserem solicitar acesso, são tão significativas nesse contexto. Elas representam um reconhecimento prático de que proteger o código aberto é proteger a internet como um todo. 🌐
Os planos de longo prazo e as próximas etapas
O Projeto Glasswing foi projetado para crescer em escopo e continuar por muitos meses. Os parceiros vão trabalhar em tarefas como detecção local de vulnerabilidades, testes de caixa preta em binários, proteção de endpoints e testes de penetração em sistemas. A Anthropic pretende compartilhar o máximo possível dos aprendizados para que outras organizações possam aplicar as lições à sua própria segurança.
Dentro de 90 dias, a Anthropic vai publicar um relatório sobre o que foi aprendido, as vulnerabilidades corrigidas e as melhorias realizadas que possam ser divulgadas. Além disso, a empresa vai colaborar com organizações líderes em segurança para produzir um conjunto de recomendações práticas sobre como as práticas de segurança devem evoluir na era da IA. Entre os temas previstos estão:
Receba o melhor conteúdo de inovação em seu e-mail
Todas as notícias, dicas, tendências e recursos que você procura entregues na sua caixa de entrada.
Ao assinar a newsletter, você concorda em receber comunicações da Método Viral. A gente se compromete a sempre proteger e respeitar sua privacidade.
- Processos de divulgação de vulnerabilidades
- Processos de atualização de software
- Segurança de código aberto e cadeia de suprimentos
- Ciclo de vida de desenvolvimento seguro e práticas secure-by-design
- Padrões para indústrias regulamentadas
- Triagem em escala e automação
- Automação de patches
A Anthropic também informou que vem mantendo discussões com autoridades do governo dos Estados Unidos sobre o Claude Mythos Preview e suas capacidades cibernéticas ofensivas e defensivas. A empresa reconhece que proteger infraestrutura crítica é uma prioridade de segurança nacional para países democráticos e que a emergência dessas capacidades cibernéticas é mais um motivo para que os EUA e seus aliados mantenham uma liderança decisiva em tecnologia de IA.
Um ponto importante: a Anthropic não planeja disponibilizar o Claude Mythos Preview para o público geral. O objetivo eventual é permitir que modelos da classe Mythos sejam implantados em escala com segurança, mas para isso é necessário avançar no desenvolvimento de salvaguardas que detectem e bloqueiem as saídas mais perigosas do modelo. A empresa planeja lançar novas salvaguardas com um futuro modelo Claude Opus, permitindo refiná-las com um modelo que não apresenta o mesmo nível de risco do Mythos Preview.
O que isso significa para o futuro da segurança digital
O Glasswing não é apenas um projeto de pesquisa ou uma iniciativa de relações públicas das grandes empresas de tecnologia. Ele representa uma aposta concreta de que a inteligência artificial pode ser a principal linha de defesa da infraestrutura digital global nos próximos anos. E essa aposta tem fundamento técnico sólido, especialmente considerando o que já foi demonstrado pelo Claude Mythos Preview antes mesmo de qualquer lançamento público.
Mas existe uma dimensão importante dessa história que vai além da tecnologia em si. O fato de que um consórcio tão diverso, reunindo concorrentes diretos como Google, Apple e Microsoft em torno de um objetivo comum, já é um sinal de que o setor reconhece que algumas ameaças são grandes demais para serem enfrentadas de forma isolada. Vulnerabilidades em software crítico não têm bandeira corporativa, não respeitam fronteiras de mercado e não escolhem vítimas por preferência de marca. Quando uma falha desse calibre é explorada, o impacto é coletivo, e a resposta precisa ser coletiva também.
Dez anos após o primeiro DARPA Cyber Grand Challenge, os modelos de IA de fronteira estão se tornando competitivos com os melhores humanos na descoberta e exploração de vulnerabilidades. Sem as salvaguardas necessárias, essas capacidades cibernéticas poderosas poderiam ser usadas para explorar as muitas falhas existentes no software mais importante do mundo, tornando ciberataques de todos os tipos muito mais frequentes e destrutivos.
O que está sendo construído com o Glasswing também estabelece um precedente importante para a forma como a indústria vai lidar com o avanço das capacidades ofensivas da IA. Se modelos de linguagem de fronteira já conseguem identificar falhas complexas em software crítico, é razoável assumir que agentes mal-intencionados vão buscar usar essa mesma capacidade para encontrar e explorar essas falhas antes que os patches cheguem. A corrida entre ofensa e defesa na cybersegurança sempre existiu, mas com a IA no jogo, ela está acontecendo em uma velocidade e escala sem precedentes históricos. 🧠
Embora os riscos sejam sérios, há espaço para otimismo: as mesmas capacidades que tornam modelos de IA perigosos nas mãos erradas os tornam inestimáveis para encontrar e corrigir falhas em software importante, e para produzir novo software com muito menos bugs de segurança.
O Projeto Glasswing chega como uma resposta estruturada a essa nova realidade, não como uma solução definitiva, mas como o início de uma abordagem que está à altura do desafio que a inteligência artificial coloca para a segurança digital global.
A visão de médio prazo inclui a possibilidade de criação de um órgão independente de terceiros, capaz de reunir organizações dos setores público e privado, como sede ideal para o trabalho contínuo nesses projetos de cybersegurança em larga escala. Nenhuma organização pode resolver esses problemas sozinha. Desenvolvedores de IA de fronteira, outras empresas de software, pesquisadores de segurança, mantenedores open source e governos de todo o mundo têm papéis essenciais a desempenhar.
E essa é a parte mais relevante de tudo isso: pela primeira vez em muito tempo, a comunidade de defesa pode estar correndo à frente. Não por muito, mas o suficiente para que faça diferença.
