Claude, nova IA da Anthropic, promete caçar vulnerabilidades de software e se destaca frente à OpenAI

Uma ferramenta de inteligência artificial identificou uma falha no OpenBSD, um sistema utilizado em firewalls de bancos e servidores governamentais, que ficou oculta por 27 anos. Essa vulnerabilidade permitia que qualquer pessoa com acesso à rede conseguisse derrubar remotamente máquinas rodando o sistema, sem necessidade de senha ou conta, bastando se conectar ao servidor. O bug foi corrigido em 25 de março de 2026 e está registrado na errata do OpenBSD 7.8. Curiosamente, o código relacionado à correção tinha exatamente 27 anos. Essa descoberta não foi resultado de uma equipe de pesquisadores humanos, mas sim do Claude Mythos Preview, um novo modelo da Anthropic que opera de forma autônoma.

### O Que O Modelo Faz de Diferente

O Mythos Preview não se limita a localizar falhas isoladas; ele as encadeia. Nicholas Carlini, pesquisador da Anthropic, explicou que o modelo identifica duas ou três vulnerabilidades que, individualmente, não causam grande impacto, mas, quando combinadas, resultam em um ataque sofisticado. Em um navegador web, por exemplo, ele conseguiu encadear quatro falhas para criar um exploit que escapou tanto do sandbox do renderizador quanto do sandbox do sistema operacional, utilizando uma técnica chamada JIT heap spray. No kernel Linux, o modelo montou uma cadeia de escalada de privilégios, unindo várias vulnerabilidades classificadas como de baixo risco, o que permitiu acesso total à máquina a partir de uma conta sem permissões. No servidor NFS do FreeBSD, ele desenvolveu um exploit que permitia execução remota de código, concedendo acesso root a usuários não autenticados, ao distribuir uma cadeia de 20 gadgets ROP em múltiplos pacotes de rede.

A diferença em relação ao modelo anterior, o Claude Opus 4.6, é significativa. Em testes com o Firefox 147, usando vulnerabilidades do motor JavaScript já conhecidas e corrigidas na versão seguinte, o Opus 4.6 conseguiu produzir exploits funcionais em 2 tentativas entre centenas. Já o Mythos Preview gerou exploits funcionais em 181 tentativas e obteve controle de registradores em 29 tentativas adicionais. Enquanto o Opus 4.6 tinha uma taxa de sucesso praticamente em 0% para o desenvolvimento autônomo de exploits, o Mythos Preview mostrou um desempenho muito superior.

### O Project Glasswing e Iniciativas Colaborativas

Recentemente, foi anunciado o Project Glasswing, uma iniciativa voltada à segurança dos softwares mais críticos do mundo, utilizando o Mythos Preview. A decisão de não lançar o modelo ao público logo após o sucesso reflete uma abordagem cuidadosa, visando proteger sistemas antes que tecnologias equivalentes sejam usadas por agentes mal-intencionados.

O nome “Glasswing” vem da borboleta asa-de-vidro, que é transparente mas pode passar despercebida, simbolizando as falhas que o modelo descobre em códigos que há anos são auditados. Um consórcio com 12 organizações, incluindo grandes nomes como AWS, Apple, Cisco e Microsoft, recebeu acesso ao modelo para detectar vulnerabilidades em código, realizar testes em binários e proteger infraestrutura, sem custos adicionais, contando com um compromisso da Anthropic de até $100 milhões em créditos de uso.

Além disso, foram feitas doações para apoiar a utilização da ferramenta por mantenedores de código aberto, como Alpha-Omega e Apache Software Foundation.

### Implicações na Rivalidade com a OpenAI

O Claude já vinha conquistando espaço no mercado, especialmente entre desenvolvedores, ao se tornar uma escolha popular para tarefas de código e análise técnica, enquanto a OpenAI tenta acompanhar o ritmo com seus lançamentos. O Mythos Preview adiciona uma nova dimensão, com a capacidade de identificar falhas em diversos sistemas operacionais e navegadores antes que sejam reportadas por pesquisadores humanos. Isso não é apenas uma afirmação de marketing; é a constatação feita por mantenedores independentes.

Greg Kroah-Hartman, do kernel Linux, observou que, há alguns meses, os relatórios gerados por IA não eram confiáveis. No entanto, atualmente, esses relatórios estão se tornando cada vez mais relevantes e precisos. Daniel Stenberg, criador do curl, mencionou que o desafio agora se resume ao volume de relatórios legítimos que podem consumir muito tempo dos desenvolvedores. Esses feedbacks vêm de profissionais que não têm interesse em promover a Anthropic e evidenciam o impacto positivo no seu trabalho diário.

### Tags #Inovação #InteligênciaArtificial #Segurança #OpenBSD #FalhasDeSegurança #ProjectGlasswing #ClaudeMythos [