A IA da Anthropic está a encontrar bugs da Microsoft mais rapidamente do que os engenheiros conseguem corrigir

Pontos-chave

• A Anthropic deu a empresas de software selecionadas acesso a um novo modelo de IA chamado Mythos em meados de maio de 2025 para encontrar falhas de segurança antes que os hackers conseguissem.
• A Microsoft lançou um esforço interno, com o codinome Projeto Glasswing, especificamente para corrigir as vulnerabilidades que o Mythos descobriu.
• O esforço é enquadrado como uma corrida defensiva: corrigir os buracos antes que a China ou outros atores adversários utilizem ferramentas de IA semelhantes para os explorar.
• Engenheiros da sede da Microsoft em Redmond questionaram abertamente se o Mythos funcionava tão bem como a Anthropic afirmava.

Dezenas de engenheiros da Microsoft amontoaram-se numa sala de conferências em Redmond, Washington, ou juntaram-se por vídeo, uma tarde em meados de maio. A reunião tinha uma agenda invulgar: uma IA tinha estado a danificar o seu próprio software, e precisavam de falar sobre o quão grave era.

A IA em questão é o Mythos, um modelo construído pela Anthropic, a empresa de IA focada em segurança de São Francisco por trás da família de chatbots Claude. A Anthropic deu ao Mythos acesso a um pequeno grupo de organizações que constroem software utilizado por pessoas comuns, empresas e governos. A ideia era simples: deixar uma IA avançada procurar por vulnerabilidades de segurança, os pontos fracos no código por onde os atacantes podem entrar, antes que hackers reais os encontrem primeiro.

A resposta interna da Microsoft recebeu um nome: Projeto Glasswing.

Por que é que isto é importante para pessoas comuns?

O software da Microsoft está em centenas de milhões de computadores em todo o mundo. Uma vulnerabilidade não corrigida é uma porta aberta. Se um grupo de hacking apoiado por um governo, ou um bando criminoso, encontrar os mesmos buracos primeiro, as consequências variam desde roubo de dados até perturbação de infraestruturas.

Essa é exatamente a ameaça que a Anthropic e a Microsoft estão a tentar antecipar. Conforme reportado pela Ars Technica, a preocupação dentro das reuniões do Glasswing era explícita: governos adversários, sendo a China nomeada entre eles, poderiam em breve implementar as suas próprias ferramentas de IA para procurar pelas mesmas fraquezas em escala.

Modelos de IA têm sido utilizados há muito tempo para ajudar a escrever código. O que é novo, e o que torna o Mythos notável, é a velocidade com que aparentemente identifica falhas em código existente. Corrigir vulnerabilidades de software sempre foi uma corrida contra a descoberta. O Mythos parece estar a encurtar o prazo em ambos os lados.

Os engenheiros ficaram convencidos?

Nem totalmente, no início. À medida que a reunião do Glasswing começava, um engenheiro fez a pergunta que estava na sala: o Mythos realmente "correspondia ao hype que a Anthropic afirmava ter?"

Esse ceticismo é saudável. Sistemas de IA são regularmente sobrevendidos. Um modelo que encontra dez problemas menores e já conhecidos parece diferente de um que traz à luz falhas genuinamente perigosas e anteriormente desconhecidas. O relato da fonte ainda não diz em que categoria as descobertas do Mythos se enquadram, ou quantas vulnerabilidades foram encontradas e corrigidas.

O que acontece a seguir?

Os detalhes do que o Mythos descobriu permanecem não publicados, o que é uma prática padrão: você não anuncia exatamente onde estão os buracos até que os patches estejam em vigor.

O que esta história sinaliza de forma mais ampla é uma mudança na forma como a indústria de segurança funciona. As empresas estão a começar a usar a IA de forma ofensiva de uma forma controlada, apontando-a para os seus próprios produtos, para bater aos atacantes reais na chegada. Essa abordagem vai espalhar-se. A questão é se os defensores conseguem manter o ritmo.

Para utilizadores comuns, o conselho prático não mudou: mantenha o seu software atualizado. Quando chegam patches, podem agora dever a sua existência a uma IA que encontrou o problema em primeiro lugar.

Perguntas comuns

O que é uma vulnerabilidade de software, exatamente?

Uma vulnerabilidade é um erro ou ponto fraco no código de um programa que um atacante pode usar para entrar onde não deveria. Pense nisso como uma janela destrancada num edifício caso contrário fechado.

Devo estar preocupado que a IA consegue agora encontrar estas falhas tão rapidamente?

A mesma velocidade que preocupa os defensores pode protegê-lo. Se as empresas usarem IA para encontrar e corrigir falhas antes que os atacantes o façam, o seu software fica mais seguro. O risco é que atores hostis obtenham as mesmas ferramentas e se movam mais rapidamente do que os defensores.