Modelo Mythos identificou vulnerabilidades em sistemas operacionais, navegadores e servidores de forma autônoma; acesso será restrito a parceiros do setor via Projeto Glasswing
A Anthropic desenvolveu um inovador modelo de inteligência artificial que tem a capacidade de identificar e explorar vulnerabilidades críticas de forma autônoma em diversos sistemas operacionais e navegadores web.
Conhecido como Mythos, este modelo não será disponibilizado ao público. Em vez disso, a Anthropic criou um programa restrito denominado Projeto Glasswing, que tem como objetivo colocar essa ferramenta nas mãos de especialistas em segurança antes que adversários possam desenvolver habilidades semelhantes.
Modelo gerou exploits funcionais em mais de 70% das tentativas
A diferença de desempenho entre Mythos e outros modelos da Anthropic é significativa. No benchmark CyberGym, que mede a capacidade de reproduzir vulnerabilidades conhecidas, o Mythos alcançou 83,1%, enquanto o Claude Opus 4.6 obteve apenas 66,6%. Na geração de código de exploração funcional, o Mythos teve um desempenho de 72,4%, em contraste com o Opus 4.6, que quase não alcançou a marca.
Além do desempenho em segurança, o Mythos também superou espera em benchmarks de programação, alcançando 93,9% no SWE-bench Verified em comparação aos 80,8% do Opus 4.6.
Bug de 27 anos no OpenBSD
A Anthropic compartilhou detalhes técnicos sobre algumas das vulnerabilidades que o modelo encontrou sem intervenção humana. Uma das falhas identificadas foi uma vulnerabilidade com 27 anos no OpenBSD, um sistema operacional renomado por sua segurança, que permitia a um atacante derrubar quaisquer sistemas em execução apenas com uma conexão.
Adicionalmente, o Mythos detectou uma falha com 16 anos no FFmpeg, uma biblioteca amplamente utilizada para processamento de vídeo, que passou despercebida mesmo após cinco milhões de execuções automatizadas de teste.
O modelo também conseguiu encadear múltiplas vulnerabilidades no kernel Linux, permitindo que um invasor escalasse seu acesso, obtendo controle total da máquina.
Engenheiros sem formação avançada em segurança acordaram com exploits prontos
Uma das histórias mais impressionantes relatadas no documento da Anthropic narrava como engenheiros sem treinamento em segurança solicitaram ao Mythos que buscasse vulnerabilidades durante a noite. Na manhã seguinte, o modelo entregou exploits completos e funcionais.
O Mythos não apenas encontra vulnerabilidades isoladas, mas combina-as em cadeias de ataque complexas. Em um dos relatos, ele produziu um exploit no servidor NFS do FreeBSD que forneceu acesso root total a usuários não autenticados, dividindo uma cadeia ROP de 20 gadgets em múltiplos pacotes.
Projeto Glasswing reúne gigantes da tecnologia e finanças
O Mythos não será disponibilizado publicamente, pois a Anthropic acredita que, embora suas capacidades sejam perigosas nas mãos erradas, elas também são valiosas para a detecção e correção de falhas em software crítico. Essa é a essência do Projeto Glasswing.
Entre os parceiros fundadores estão grandes empresas como Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA e Palo Alto Networks. Cerca de 40 outras organizações também foram convidadas a participar. As atividades previstas incluem a identificação local de vulnerabilidades, testes de segurança e análise de penetração.
Após o período inicial financiado por créditos da Anthropic, o acesso ao Mythos Preview custará US$ 25 por milhão de tokens de entrada e US$ 125 por milhão de tokens de saída, disponível através de plataformas como Claude API, Amazon Bedrock e Google Cloud Vertex AI.
US$ 100 milhões em créditos e doações a projetos de código aberto
A Anthropic anunciou a destinação de até US$ 100 milhões em créditos de uso para o Mythos ao longo do projeto. Além disso, foram feitas doações de US$ 2,5 milhões à Alpha-Omega e à OpenSSF, e US$ 1,5 milhão à Apache Software Foundation.
Essas doações foram motivadas pela relevância do código aberto na infraestrutura digital, uma área onde muitos mantenedores estão sendo chamados a se juntar ao programa Claude for Open Source.
Anthropic busca diálogo com o governo dos EUA
A Anthropic confirmou que está em conversações com autoridades governamentais dos Estados Unidos sobre as potenciais aplicações do Mythos. A empresa considera essa discussão uma prioridade de segurança nacional, enfatizando a importância de manter a liderança em IA para mitigar riscos e ameaças.
Embora o plano de longo prazo não inclua um lançamento público do Mythos, a Anthropic pretende desenvolver salvaguardas robustas antes de implementar modelos dessa natureza em larga escala. Essas medidas serão testadas primeiro em um projeto futuro que não envolve o mesmo nível de risco.
Comprometendo-se a oferecer um relatório em até 90 dias, a Anthropic buscará divulgar vulnerabilidades corrigidas e as lições aprendidas ao longo do processo.