Claude Mythos versão empresarial encontra mais de 10 mil vulnerabilidades de alta severidade: Anthropic se une a 13 gigantes para criar aliança de segurança de IA
A Anthropic acabou de fazer um grande movimento, mas desta vez não é apenas o lançamento de um novo modelo.
Em 7 de abril, ela se uniu a uma lista de empresas que, em sonho, você não imaginaria lado a lado — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, Fundação Linux, Microsoft, NVIDIA, Palo Alto Networks — para anunciar a criação de uma aliança de segurança chamada Project Glasswing . A missão é uma só: usar IA para resolver a segurança dos softwares mais críticos do mundo.
No mesmo dia, a Anthropic revelou outra notícia bombástica: usando internamente os modelos da família Claude para varrer em larga escala bases de código corporativas, eles encontrarammais de 10 mil vulnerabilidades de alta severidade.
Juntas, as duas notícias fizeram o mundo da segurança explodir.
Como foram encontradas mais de dez mil vulnerabilidades de alta severidade
Tudo começa com a pesquisa de segurança em IA da Anthropic.
O Claude Mythos é um modelo de uso exclusivo para pesquisa de segurança que a Anthropic vem lapidando internamente. Diferente dos Claudes comuns, ele foi otimizado especificamente para engenharia reversa de código, descoberta de vulnerabilidades e testes de penetração, sendo capaz de localizar automaticamente pontos de vulnerabilidade com ameaça real em bases de código de grande escala.
Antes de lançar o Project Glasswing, a equipe da Anthropic usou o Claude Mythos para fazer um “teste de estresse” em um conjunto de bases de código empresariais — e o resultado arrepiou:mais de dez mil vulnerabilidades de alta severidade, cobrindo tipos que vão de bypass de autenticação e corrupção de memória a ataques à cadeia de suprimentos.
Essas vulnerabilidades não foram encontradas por scanners tradicionais nem escavadas manualmente por engenheiros de segurança — foram descobertas automaticamente pelo modelo de IA.
Compare com o método tradicional: uma auditoria completa de código corporativo feita por uma equipe profissional de segurança costuma levar meses e custar centenas de milhares de dólares. O Claude Mythos comprime esse tempo para dias, ou menos, em bases de código do mesmo tamanho.
Essa é a diferença de ordem de grandeza das ferramentas de pesquisa de segurança com IA.
Quão poderoso é o Claude Mythos
O título da reportagem do The New York Times de 7 de abril dizia, em uma frase:“Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning”— em resumo, o modelo é tão poderoso que a própria Anthropic achou que não era adequado publicá-lo abertamente.
A BBC em seguida publicou uma matéria de acompanhamento com o título:“What is Anthropic’s Claude Mythos and what risks does it pose?”
Cruzando as informações de várias fontes, as capacidades centrais do Claude Mythos se concentram em três direções:
– Compreensão e engenharia reversa de código: consegue entender a estrutura de bases de código empresariais complexas e identificar falhas de segurança
– Avaliação de explorabilidade de vulnerabilidades: não apenas encontra vulnerabilidades, como também avalia se elas podem ser exploradas em cenários reais de ataque
– Varredura automatizada em larga escala: roda sobre a base de código inteira de uma vez, sem necessidade de verificação manual passo a passo
O que significa essa combinação de capacidades?
Significa que um trabalho que antes levava três meses de uma equipe de segurança agora pode ser concluído pela IA em poucos dias. E a IA não se cansa, não pula varreduras e não se intimida com código complexo.
Project Glasswing: o que é a aliança de segurança de IA
Ter capacidade de IA não basta: a Anthropic reuniu 13 gigantes de tecnologia para lançar o Project Glasswing.
A lista em si já merece uma leitura atenta:
– Provedores de nuvem: AWS, Microsoft Azure
– Empresas de segurança: CrowdStrike, Palo Alto Networks
– Chips / hardware: Broadcom, NVIDIA
– Usuários corporativos: JPMorgan
– Infraestrutura open source: Fundação Linux
– Sistemas operacionais: Apple
– Equipamentos de rede: Cisco
– Empresas de IA: Anthropic, Google
O que essa composição significa? Que eles não pretendem fazer apenas pesquisa teórica, mas implantar capacidades de segurança de IA em toda a cadeia: camada de chips, sistema operacional, nuvem e aplicações.
O plano central do Glasswing inclui:
– estabelecer um padrão de avaliação de segurança de código conduzida por IA
– promover auditorias de segurança de software open source crítico
– compartilhar inteligência sobre vulnerabilidades de alta severidade descobertas por IA
– oferecer proteção de segurança com IA para infraestruturas críticas globais
Dito de forma direta: é a construção de uma “aliança de segurança cibernética” da era da IA, usando IA para combater os riscos de segurança que a própria IA traz.
O verdadeiro problema por trás das dez mil vulnerabilidades
Encontrar dez mil vulnerabilidades, em si, não é notícia — o mundo da segurança as descobre todos os dias.
O que realmente merece alerta é o significado por trás desse número.
Primeiro: a ordem de grandeza das vulnerabilidades superou muito as expectativas.
Todo mundo já sabia que bases de código corporativas têm vulnerabilidades, mas o que “mais de 10 mil de alta severidade” indica? Que as verificações de segurança nos processos de desenvolvimento atuais simplesmente não são suficientes. O código é escrito, o scanner roda, aprova — e o que tinha que escapar, escapa. A entrada da IA expôs esse problema de forma ainda mais completa.
Segundo: o que a distribuição das vulnerabilidades revela.
A Anthropic não divulgou quais tipos de vulnerabilidade predominam, mas, pela composição dos participantes do Glasswing, podemos supor: vulnerabilidades de cadeia de suprimentos (por causa da Fundação Linux), de autenticação (por causa das nuvens e das empresas) e de infraestrutura (por causa dos fabricantes de chips e sistemas operacionais) devem ser as direções prioritárias.
Terceiro: “descobrir” não é o mesmo que “corrigir”.
Encontrar as vulnerabilidades é só o primeiro passo. Mais de dez mil vulnerabilidades de alta severidade — quem vai corrigir? Em quanto tempo? Muitas vulnerabilidades históricas em bases corporativas podem existir há cinco ou dez anos, e corrigir uma delas exige cuidado para não quebrar funcionalidades existentes.
A faca de dois gumes das ferramentas de segurança com IA
Dito isso, uma coisa precisa ser mencionada: se o Claude Mythos pode ser usado para encontrar vulnerabilidades, outros também podem usar IAs semelhantes para encontrá-las.
A Anthropic optou por não publicar o Claude Mythos abertamente, alegando que ele é “perigoso demais”. É a mesma linha do que fez na era do Claude Opus 4 — primeiro avaliar o risco, depois decidir o grau de abertura.
O problema é:
– outras empresas vão criar modelos semelhantes ou ainda mais fortes?
– e se esses modelos caírem nas mãos de atacantes?
– as empresas conseguirão usar a IA para corrigir suas vulnerabilidades antes dos atacantes?
O Glasswing é, de certa forma, a resposta a essa pergunta:em vez de deixar as capacidades de segurança com IA concentradas em poucas empresas, é melhor unir toda a indústria para construir uma barreira de defesa. Se os atacantes têm IA, os defensores também precisam ter — e mais rápida, mais precisa e mais sistemática.
Como o desenvolvedor comum deve encarar isso
Se você é desenvolvedor ou engenheiro de segurança, este assunto tem várias camadas:
No curto prazo: o mecanismo de compartilhamento de vulnerabilidades do Glasswing priorizará projetos open source críticos e infraestrutura. Para a sua própria linha de produtos, ainda não dá para contar com isso. Mas vale acompanhar os padrões técnicos e os métodos de classificação de vulnerabilidades que forem divulgados.
No médio prazo: modelos de segurança especializados como o Claude Mythos entrarão gradualmente nas cadeias de ferramentas de segurança corporativas. É possível que você veja capacidades semelhantes de IA integradas em plugins de IDE e em fluxos de varredura de segurança de CI/CD no futuro. Conhecer essa direção com antecedência não faz mal.
No longo prazo: a corrida armamentista entre pesquisa de segurança com IA e pesquisa de ataque com IA só vai se intensificar. A capacidade da IA dos defensores cresce, e a dos atacantes evolui em paralelo. A criação do Glasswing mostra que as grandes empresas já tratam isso como questão estratégica.
Por que este momento é importante
Em 2026, AI Agents começaram a se integrar em massa aos fluxos de trabalho corporativos — da geração de código ao processamento de dados, dos sistemas internos à interação com clientes. Modelos como Claude e GPT já penetram nos processos centrais de negócio das empresas.
Quando a IA começa a processar dados sensíveis, escrever código crítico e se conectar a sistemas de produção,as vulnerabilidades de segurança da própria IA e as vulnerabilidades descobertas pela IA tornam-se as duas faces da mesma moeda.
O Glasswing e as dez mil vulnerabilidades são a pedra que a Anthropic jogou na água — ela quer que toda a indústria perceba: segurança de IA não é um problema técnico, é um problema de ecossistema.
Nenhuma empresa isolada consegue resolver; é preciso que toda a indústria resolva junta.
Isso também explica por que Apple, Microsoft, Google e outras companhias que normalmente brigam entre si conseguiram sentar-se à mesma mesa.
Para terminar
Dez mil vulnerabilidades de alta severidade não são um número feito para gerar ansiedade.
É a Anthropic fazendo um “check-up” em larga escala com IA e divulgando o resultado ao mundo. O laudo saiu; a questão é: como você pretende reagir?
Vai esperar os padrões do Glasswing ficarem prontos, ou vai começar agora a usar ferramentas de IA para fazer uma varredura completa da sua base de código?
Essa escolha, só você pode fazer.