Recorde de 208 correcções em Junho foi pulverizado em Julho, com mais de 600 patches lançados pela Microsoft, num momento em que o modelo Mythos, da Anthropic, começa a expor a escala do problema
Os modelos de Inteligência Artificial estão a encontrar vulnerabilidades no software da Microsoft a um ritmo superior àquele a que a própria empresa consegue corrigi-las. Na Primavera passada, o Project Glasswing, da Anthropic, deu a várias organizações — incluindo a Microsoft — acesso ao seu modelo mais sofisticado, o Mythos, especificamente para detectar falhas de segurança em software crítico.
O ciclo mensal de correcções da Microsoft (conhecido como “Patch Tuesday”) de Junho continha 208 correcções, um número recorde até então. Esse recorde foi pulverizado já em Julho, com o lançamento de mais de 600 patches — um salto que ilustra a rapidez com que o volume de vulnerabilidades descobertas está a crescer.
A Microsoft organiza as suas correcções por prioridade, resolvendo primeiro as vulnerabilidades mais graves. O problema, segundo reportou a ProPublica, é que o Mythos consegue encadear várias falhas de baixa gravidade — que, isoladamente, não seriam prioritárias — para “levar a cabo ataques devastadores”. Um especialista citado pela publicação descreveu a situação como “beber de uma mangueira de incêndio”, sublinhando que a equipa de segurança da Microsoft não parece conseguir acompanhar o ritmo a que as descobertas se acumulam.
O que é o Project Glasswing
O Project Glasswing é uma iniciativa lançada pela Anthropic a 7 de Abril de 2026, com o objectivo de proteger as infra-estruturas de software mais críticas do mundo antes que modelos de IA cada vez mais capazes possam ser usados contra elas. A iniciativa junta parceiros fundadores como a Amazon Web Services, a Apple, a Broadcom, a Cisco, a CrowdStrike, a Google, a JPMorgan Chase, a Linux Foundation, a Microsoft, a NVIDIA e a Palo Alto Networks, entre outros, dando-lhes acesso antecipado ao Claude Mythos Preview — o modelo mais avançado da Anthropic para tarefas de programação e cibersegurança à data do lançamento. A empresa comprometeu 100 milhões de dólares em créditos de utilização do modelo para cobrir o projecto.
Num primeiro relatório de progresso, publicado em Maio, a Anthropic revelou que os cerca de 50 parceiros do programa tinham identificado, em apenas um mês, mais de dez mil vulnerabilidades de gravidade elevada ou crítica em sistemas de software considerados sistemicamente importantes. Uma análise mais detalhada, feita sobre mil projectos de código aberto, identificou 6.202 vulnerabilidades de gravidade elevada ou crítica entre um total de 23.019 falhas encontradas — das quais 1.726 foram confirmadas como verdadeiros positivos.
Um exemplo concreto: falha crítica na encriptação WolfSSL
Entre os casos mais citados está uma vulnerabilidade crítica na biblioteca de encriptação WolfSSL (identificada como CVE-2026-5194, com uma pontuação de gravidade de 9,1 em 10), que poderia permitir a um atacante forjar certificados digitais e fazer-se passar por um serviço legítimo — por exemplo, criando uma página falsa de um banco ou de um fornecedor de e-mail, indistinguível da original aos olhos de um utilizador comum. A vulnerabilidade já foi corrigida. Num outro caso, um banco parceiro do Glasswing terá usado o modelo para detectar e impedir uma transferência bancária fraudulenta de 1,5 milhões de dólares, depois de um atacante desconhecido ter comprometido a conta de e-mail de um cliente e feito chamadas telefónicas falsas para autorizar a operação.
Na própria publicação da Anthropic sobre o projecto, a empresa reconhece que “o progresso na segurança de software costumava estar limitado pela rapidez com que conseguíamos encontrar novas vulnerabilidades. Agora está limitado pela rapidez com que conseguimos verificar, divulgar e corrigir o elevado número de vulnerabilidades encontradas pela IA.” Segundo a Anthropic, a convenção da indústria de divulgar novas vulnerabilidades 90 dias após a sua descoberta — para dar tempo aos utilizadores de actualizarem o seu software antes que possam ser exploradas por atacantes — está agora a colidir com um ritmo de descoberta muito mais acelerado do que aquele para o qual essas regras foram pensadas. Em média, corrigir uma falha de gravidade elevada ou crítica descoberta pelo Mythos Preview demora ainda duas semanas.
Nem toda a recepção ao anúncio da Anthropic foi entusiástica. O especialista em segurança informática Bruce Schneier criticou publicamente o relatório da empresa, questionando a narrativa segundo a qual o Mythos seria superior a outros modelos na detecção de vulnerabilidades — uma ideia que, segundo Schneier, vários órgãos de comunicação social terão repetido de forma pouco crítica. O investigador notou ainda que, apesar do elevado número de vulnerabilidades encontradas, “quase nenhuma foi corrigida” até à data do relatório, considerando “estranho” e pouco transparente o facto de a Anthropic não ter divulgado dados mais detalhados sobre o processo.
Um sinal do que aí vem
Desde então, o Mythos Preview foi substituído pelo Claude Mythos 5, uma versão mais avançada do modelo disponibilizada aos parceiros do consórcio a partir de Junho. Segundo a Anthropic, dada a possibilidade de modelos com capacidades semelhantes ao Mythos se tornarem amplamente disponíveis num futuro próximo — inclusivamente através de modelos de código aberto mais pequenos, segundo investigação independente já divulgada —, a empresa tem instado os fabricantes de software a encurtar os seus ciclos de correcção e a disponibilizar remendos de segurança o mais rapidamente possível. A Oracle, por exemplo, já alterou o seu próprio ciclo de correcções para uma periodicidade mensal, precisamente para responder a este novo ritmo de descoberta de vulnerabilidades — uma tendência que, segundo analistas do sector, deverá obrigar toda a indústria tecnológica a repensar, nos próximos anos, a forma como gere e divulga falhas de segurança no seu software.