Projeto Glasswing: a maior coalizão de cibersegurança com IA já formada quer proteger o software mais crítico do mundo
A cibersegurança nunca foi um campo estático, mas o que está acontecendo agora é diferente de tudo que já vimos antes.
Modelos de IA chegaram a um nível de capacidade técnica onde conseguem identificar e explorar vulnerabilidades em software com uma precisão que supera praticamente qualquer especialista humano, e isso muda o jogo de forma irreversível.
É exatamente nesse contexto que surge o Projeto Glasswing, uma iniciativa que reúne alguns dos maiores nomes da tecnologia mundial, como Amazon Web Services, Apple, Cisco, Google, Microsoft, NVIDIA, CrowdStrike, JPMorganChase, Palo Alto Networks, Broadcom, a Linux Foundation e a Anthropic, todos unidos por um objetivo em comum: usar esse poder para defender, e não atacar.
No centro dessa iniciativa está o Claude Mythos Preview, um modelo frontier ainda não lançado publicamente pela Anthropic que já encontrou milhares de vulnerabilidades zero-day críticas em praticamente todos os grandes sistemas operacionais e navegadores do mundo.
Algumas dessas falhas tinham sobrevivido por mais de duas décadas sem serem detectadas, passando por milhões de testes automatizados sem deixar rastro.
O que isso revela é simples e um pouco assustador ao mesmo tempo: os métodos tradicionais de segurança têm limites muito claros, e a inteligência artificial já ultrapassou esses limites faz tempo. 😬
Neste artigo, você vai entender como o Glasswing funciona na prática, quais vulnerabilidades históricas o Mythos Preview já encontrou, o que os parceiros estão dizendo sobre a iniciativa, qual o investimento envolvido e, principalmente, por que o timing de tudo isso importa tanto quanto a tecnologia em si.
Como o Projeto Glasswing Funciona na Prática
O Projeto Glasswing não é simplesmente mais uma ferramenta de escaneamento de código. A proposta vai muito além disso. A iniciativa combina o poder de raciocínio avançado dos modelos de IA da Anthropic com o conhecimento técnico profundo dos maiores players do setor de tecnologia global, criando um ecossistema colaborativo onde a inteligência artificial atua como um pesquisador de segurança de altíssimo nível, capaz de analisar bases de código enormes com uma velocidade e profundidade que seria humanamente impossível de replicar.
O modelo não apenas varre o código em busca de padrões conhecidos de falhas. Ele raciocina sobre o comportamento do sistema, antecipa vetores de ataque e identifica combinações de condições que só se tornam perigosas em cenários muito específicos, exatamente o tipo de coisa que escapa dos scanners tradicionais.
O Claude Mythos Preview foi desenvolvido com foco específico em tarefas de segurança ofensiva e defensiva, o que significa que ele foi treinado para pensar como um pesquisador de segurança experiente, não apenas como um verificador de sintaxe. Ele consegue cruzar informações entre diferentes partes de um sistema, entender dependências complexas e identificar onde uma falha aparentemente pequena pode se transformar em uma porta de entrada crítica quando combinada com outras condições do ambiente. Isso é algo que os métodos convencionais de análise estática e dinâmica simplesmente não conseguem fazer com a mesma eficiência.
Outro ponto importante é que o projeto não opera de forma isolada. Cada parceiro traz consigo um conjunto único de infraestrutura, dados e expertise técnica que alimenta e refina continuamente o processo de análise. A AWS contribui com capacidade de processamento em escala, a Google e a Microsoft trazem conhecimento profundo sobre os seus próprios ecossistemas de software, enquanto empresas como CrowdStrike e Palo Alto Networks adicionam contexto de ameaças reais e comportamento de atores maliciosos observados em campo. Essa combinação de inteligência artificial de ponta com conhecimento humano especializado é o que torna o Glasswing algo verdadeiramente diferente do que existia antes no campo da cibersegurança.
- E-BOOK GRATUITO
Um guia prático para avaliar, comparar e implementar inteligência artificial com clareza — sem desperdício de tempo ou dinheiro.
Pare de contratar ferramentas sem direção. Criamos um método estruturado para decidir qual IA realmente faz sentido para o seu negócio.
Entrega em PDF no seu e-mail · Sem spam · LGPD
🔒 Seus dados são protegidos conforme a LGPD. Você pode descadastrar a qualquer momento.
Além dos parceiros principais, a Anthropic também estendeu o acesso ao Mythos Preview para um grupo de mais de 40 organizações adicionais que constroem ou mantêm infraestrutura de software crítica. Essas organizações podem usar o modelo para escanear e proteger tanto sistemas proprietários quanto sistemas de código aberto, ampliando consideravelmente o alcance defensivo da iniciativa.
Vulnerabilidades que Sobreviveram por Décadas
Um dos aspectos mais impressionantes e, honestamente, mais perturbadores do que o Projeto Glasswing já entregou até agora é a descoberta de vulnerabilidades que estavam escondidas em sistemas críticos há décadas. Estamos falando de falhas que passaram por auditorias de segurança, por milhões de execuções de testes automatizados, por revisões de código feitas por engenheiros extremamente qualificados, e mesmo assim permaneceram invisíveis por todo esse tempo.
A Anthropic compartilhou três exemplos concretos que ilustram bem a gravidade da situação:
- OpenBSD, falha de 27 anos: O Mythos Preview encontrou uma vulnerabilidade no OpenBSD, que tem a reputação de ser um dos sistemas operacionais mais seguros do mundo e é amplamente utilizado para rodar firewalls e outras infraestruturas críticas. A falha permitia que um atacante travasse remotamente qualquer máquina rodando o sistema simplesmente se conectando a ela.
- FFmpeg, falha de 16 anos: O modelo descobriu uma vulnerabilidade no FFmpeg, a biblioteca usada por inúmeros softwares para codificar e decodificar vídeo. A falha estava em uma linha de código que ferramentas de teste automatizado tinham executado cinco milhões de vezes sem jamais detectar o problema.
- Kernel Linux, cadeia de exploits autônoma: O Mythos Preview encontrou e encadeou de forma totalmente autônoma várias vulnerabilidades no kernel Linux, o software que roda a maioria dos servidores do mundo, permitindo que um atacante escalasse de acesso comum de usuário para controle total da máquina.
Todas essas vulnerabilidades já foram reportadas aos mantenedores dos respectivos softwares e já receberam correções. Para muitas outras falhas ainda em processo de correção, a Anthropic publicou um hash criptográfico dos detalhes no blog do Frontier Red Team, comprometendo-se a revelar os detalhes assim que as correções estiverem disponíveis. 🔍
O que torna essas descobertas ainda mais relevantes é o tipo de vulnerabilidade encontrada. Não são erros triviais ou problemas de configuração. São falhas estruturais que, em determinadas condições, permitem execução remota de código, escalonamento de privilégios ou vazamento de dados sensíveis. Algumas delas exigem um encadeamento muito específico de condições para serem exploradas, o que explica por que passaram despercebidas por tanto tempo. Um scanner tradicional não consegue simular o raciocínio necessário para perceber que a combinação de condições A e B em determinado contexto cria uma abertura que, isoladamente, jamais representaria risco. O modelo de IA faz exatamente isso: conecta pontos que estavam separados e enxerga o quadro completo.
Do ponto de vista prático, essa capacidade representa uma mudança bastante significativa na forma como a indústria vai precisar pensar sobre o ciclo de vida de software seguro. Se um modelo de IA consegue encontrar em semanas o que humanos não encontraram em décadas, a pergunta inevitável é: o que mais ainda está lá, escondido, esperando ser descoberto por alguém com más intenções?
O Contexto Mais Amplo: Por Que Isso Importa Agora
Para entender a urgência do Projeto Glasswing, é preciso olhar para o cenário mais amplo da cibersegurança global. O software que todos nós usamos diariamente, responsável por rodar sistemas bancários, armazenar prontuários médicos, conectar redes logísticas, manter redes elétricas funcionando e muito mais, sempre conteve bugs. Muitos são menores, mas alguns são falhas de segurança graves que, se descobertas por atores maliciosos, podem permitir o sequestro de sistemas, a interrupção de operações ou o roubo de dados sensíveis.
Os custos financeiros globais do cibercrime são difíceis de estimar com precisão, mas giram em torno de 500 bilhões de dólares por ano, segundo estimativas recentes. Ataques a redes corporativas, sistemas de saúde, infraestrutura de energia, centros de transporte e agências governamentais já demonstraram repetidamente as consequências severas que essas falhas podem causar.
No cenário geopolítico, ataques patrocinados por estados como China, Irã, Coreia do Norte e Rússia têm ameaçado comprometer a infraestrutura que sustenta tanto a vida civil quanto a prontidão militar de diversas nações. Mesmo ataques em menor escala, como aqueles que visam hospitais individuais ou escolas, ainda conseguem causar danos econômicos substanciais, expor dados sensíveis e até colocar vidas em risco.
No último ano, os modelos de IA se tornaram cada vez mais eficazes em ler e raciocinar sobre código, demonstrando uma habilidade notável para identificar vulnerabilidades e encontrar formas de explorá-las. O Claude Mythos Preview representa um salto nessas habilidades cibernéticas. Dez anos depois do primeiro DARPA Cyber Grand Challenge, modelos de IA frontier estão agora se tornando competitivos com os melhores humanos na descoberta e exploração de vulnerabilidades.
A boa notícia é que as mesmas capacidades que tornam os modelos de IA perigosos nas mãos erradas os tornam inestimáveis para encontrar e corrigir falhas em software importante, e para produzir novos softwares com muito menos bugs de segurança desde o início.
O Que os Parceiros Estão Dizendo
A adesão de empresas tão diversas ao Projeto Glasswing não é por acaso, e as declarações públicas dos parceiros deixam claro que há um senso genuíno de urgência por trás da iniciativa.
A Cisco destacou que as capacidades de IA cruzaram um limiar que muda fundamentalmente a urgência necessária para proteger infraestrutura crítica contra ameaças cibernéticas, e que não há volta. Segundo a empresa, o trabalho com esses modelos mostrou que é possível identificar e corrigir vulnerabilidades de segurança em hardware e software em um ritmo e escala antes impossíveis.
A AWS mencionou que suas equipes analisam mais de 400 trilhões de fluxos de rede por dia em busca de ameaças, e que a IA é central para a capacidade de defesa em escala. A empresa vem testando o Claude Mythos Preview em suas próprias operações de segurança, aplicando-o a bases de código críticas onde o modelo já está ajudando a fortalecer o código.
A Microsoft, representada por Igor Tsyganskiy, vice-presidente executivo de Cibersegurança e Microsoft Research, apontou que estamos entrando em uma fase onde a cibersegurança não é mais limitada pela capacidade puramente humana. Quando testado contra o CTI-REALM, o benchmark de segurança de código aberto da Microsoft, o Claude Mythos Preview mostrou melhorias substanciais em comparação com modelos anteriores.
A CrowdStrike foi bastante direta: a janela entre uma vulnerabilidade ser descoberta e ser explorada por um adversário colapsou. O que antes levava meses agora acontece em minutos com IA. Isso não é motivo para desacelerar, é motivo para se mover junto e mais rápido.
A Linux Foundation trouxe uma perspectiva fundamental sobre o código aberto, destacando que mantenedores de software open source, cujo trabalho sustenta boa parte da infraestrutura crítica mundial, historicamente ficaram por conta própria quando o assunto era segurança. O Glasswing oferece um caminho concreto para mudar essa equação, fazendo com que a segurança aumentada por IA se torne um recurso acessível para todos os mantenedores, não apenas para aqueles que podem pagar equipes de segurança caras.
O JPMorganChase, representado por Pat Opet, Chief Information Security Officer, reforçou que promover a cibersegurança e a resiliência do sistema financeiro é central para a missão do banco, e que o Glasswing oferece uma oportunidade única para avaliar ferramentas de IA de próxima geração para cibersegurança defensiva em infraestrutura crítica.
A Google mencionou suas próprias ferramentas alimentadas por IA, como o Big Sleep e o CodeMender, construídas para encontrar e corrigir falhas críticas de software, reforçando que a indústria precisa trabalhar em conjunto em questões emergentes de segurança.
A Palo Alto Networks foi especialmente enfática ao afirmar que o Mythos Preview identificou vulnerabilidades complexas que modelos de gerações anteriores simplesmente perderam por completo, e que todos precisam se preparar para atacantes assistidos por IA, pois haverá mais ataques, ataques mais rápidos e ataques mais sofisticados. 🌐
O Investimento por Trás do Glasswing
O Projeto Glasswing não é apenas uma declaração de intenções. A Anthropic está comprometendo até 100 milhões de dólares em créditos de uso do Claude Mythos Preview para os parceiros e participantes adicionais da iniciativa. Esse valor cobre um uso substancial durante a fase de pesquisa. Após esse período, o modelo estará disponível para os participantes a um custo de 25 dólares por milhão de tokens de entrada e 125 dólares por milhão de tokens de saída, acessível via Claude API, Amazon Bedrock, Google Cloud Vertex AI e Microsoft Foundry.
Além dos créditos de uso, a Anthropic fez doações diretas para organizações de segurança de código aberto:
- 2,5 milhões de dólares para o Alpha-Omega e o OpenSSF, por meio da Linux Foundation
- 1,5 milhão de dólares para a Apache Software Foundation
Esses recursos permitirão que mantenedores de software open source respondam ao cenário de ameaças em transformação. Mantenedores interessados em obter acesso podem se inscrever no programa Claude for Open Source.
Receba o melhor conteúdo de inovação em seu e-mail
Todas as notícias, dicas, tendências e recursos que você procura entregues na sua caixa de entrada.
Ao assinar a newsletter, você concorda em receber comunicações da Método Viral. A gente se compromete a sempre proteger e respeitar sua privacidade.
Planos para o Futuro e Próximos Passos
O anúncio de hoje é apenas o começo de um esforço de longo prazo. Os parceiros do Projeto Glasswing receberão acesso ao Claude Mythos Preview para encontrar e corrigir vulnerabilidades em seus sistemas fundamentais, que representam uma porção muito grande da superfície de ataque cibernético compartilhada globalmente. O trabalho deve se concentrar em tarefas como detecção local de vulnerabilidades, testes de caixa-preta em binários, proteção de endpoints e testes de penetração em sistemas.
A Anthropic também delineou um roteiro claro de transparência e colaboração:
- Dentro de 90 dias, a Anthropic publicará um relatório sobre o que foi aprendido, as vulnerabilidades corrigidas e as melhorias que podem ser divulgadas
- Os parceiros compartilharão informações e melhores práticas entre si na medida do possível
- Em colaboração com organizações líderes de segurança, será produzido um conjunto de recomendações práticas sobre como as práticas de segurança devem evoluir na era da IA
Essas recomendações podem incluir processos de divulgação de vulnerabilidades, processos de atualização de software, segurança de código aberto e cadeia de suprimentos, práticas de ciclo de vida de desenvolvimento seguro, padrões para indústrias regulamentadas, escalabilidade e automação de triagem, e automação de patches.
Um ponto que vale destacar: a Anthropic não planeja disponibilizar o Claude Mythos Preview para o público em geral. O objetivo eventual é permitir que modelos dessa classe possam ser implantados em escala com segurança, mas isso depende de avanços nas salvaguardas que detectam e bloqueiam as saídas mais perigosas do modelo. A empresa planeja lançar novas salvaguardas com um próximo modelo Claude Opus, permitindo melhorar e refinar essas proteções com um modelo que não apresenta o mesmo nível de risco do Mythos Preview.
A Dimensão Geopolítica e o Papel dos Governos
A Anthropic também revelou que está em discussões contínuas com autoridades do governo dos Estados Unidos sobre o Claude Mythos Preview e suas capacidades cibernéticas ofensivas e defensivas. Proteger infraestrutura crítica é uma prioridade de segurança nacional para países democráticos, e a emergência dessas capacidades cibernéticas é mais uma razão pela qual os EUA e seus aliados precisam manter uma vantagem decisiva em tecnologia de IA.
Os governos têm um papel essencial tanto na manutenção dessa vantagem quanto na avaliação e mitigação dos riscos de segurança nacional associados a modelos de IA. A Anthropic afirmou estar pronta para trabalhar com representantes locais, estaduais e federais para auxiliar nessas tarefas.
A visão de longo prazo é que o Glasswing possa semear um esforço ainda maior envolvendo a indústria e o setor público, com todas as partes ajudando a enfrentar as maiores questões sobre o impacto de modelos poderosos na segurança. No médio prazo, um órgão independente e de terceiros, capaz de reunir organizações dos setores privado e público, pode ser o espaço ideal para a continuidade desse trabalho em projetos de cibersegurança de grande escala.
O Que Isso Significa para o Futuro da Cibersegurança
O Projeto Glasswing representa um momento de inflexão bastante claro no campo da cibersegurança. A capacidade dos modelos de IA de encontrar e explorar vulnerabilidades está avançando em um ritmo que torna a ação preventiva não apenas desejável, mas absolutamente necessária. A janela de oportunidade para que os defensores mantenham vantagem sobre potenciais atacantes está se estreitando rapidamente, e iniciativas como essa existem precisamente para garantir que o lado defensivo chegue primeiro.
O fato de que empresas que normalmente competem ferozmente entre si decidiram colaborar neste projeto diz muito sobre a gravidade da situação. Quando AWS, Google, Microsoft e Apple estão sentadas na mesma mesa para resolver um problema, é porque o problema é grande o suficiente para tornar a competição secundária.
No fim das contas, o Glasswing não é apenas sobre encontrar bugs em software. É sobre redefinir como o mundo pensa sobre segurança digital em uma era onde a inteligência artificial é simultaneamente a maior ameaça e a melhor defesa disponível. E se os primeiros resultados são alguma indicação do que está por vir, os próximos meses prometem ser bastante interessantes para quem acompanha esse cenário. 🚀
