IA da Anthropic acelera descoberta de vulnerabilidades e sobrecarrega capacidade de correção humana

A inteligência artificial (IA) atingiu um novo marco na cibersegurança, mas com uma consequência preocupante: a capacidade de sistemas de IA para identificar vulnerabilidades em software está superando drasticamente a velocidade com que equipes humanas conseguem corrigi-las. A Anthropic, uma das principais empresas de IA, revelou que seu Project Glasswing, impulsionado pelo modelo Claude Mythos, descobriu mais de 10 mil vulnerabilidades de alta ou criticidade em softwares de código aberto em apenas 30 dias. Este fenômeno cria um gargalo sem precedentes, transferindo o problema da detecção de falhas para a sua remediação, e exigindo uma reavaliação urgente das estratégias de segurança por parte das empresas globalmente, incluindo as brasileiras.

O que mudou na prática: a IA como caçadora de vulnerabilidades

O Project Glasswing da Anthropic foi lançado como um esforço colaborativo para proteger softwares críticos antes que modelos de IA mais avançados pudessem ser usados para explorações maliciosas. Para isso, a iniciativa emprega o Claude Mythos Preview, um modelo de IA de fronteira que, durante testes, demonstrou capacidades de cibersegurança que superam as de humanos altamente qualificados na identificação e exploração de vulnerabilidades.

Os números são alarmantes: o Mythos Preview escaneou mais de 1.000 projetos de código aberto, que formam a base de grande parte da internet e de infraestruturas críticas. Desse total, foram identificadas 23.019 vulnerabilidades, das quais 6.202 foram classificadas como de alta ou criticidade. Após uma avaliação criteriosa por empresas de pesquisa de segurança independentes, 1.094 dessas falhas foram confirmadas como verdadeiros positivos de alta ou criticidade, com uma taxa de acerto impressionante de 90,6%.

Um exemplo notável é a descoberta de uma vulnerabilidade de 27 anos no OpenBSD, um sistema operacional conhecido por sua robustez de segurança e usado em firewalls e outras infraestruturas críticas. O Mythos também identificou uma falha de 16 anos no FFmpeg, uma biblioteca amplamente utilizada para codificação e decodificação de vídeo, em uma linha de código que ferramentas de teste automatizadas haviam acessado milhões de vezes sem detectar o problema. Em muitos casos, a IA foi capaz de desenvolver exploits funcionais de forma autônoma.

O problema central reside na desproporção entre a capacidade de descoberta da IA e a capacidade humana de resposta. Manutenções de projetos de código aberto estão sobrecarregadas, com desenvolvedores pedindo à Anthropic para diminuir o ritmo das divulgações, pois não conseguem acompanhar. A média de tempo para corrigir uma vulnerabilidade de alta severidade é de cerca de duas semanas, e apenas 75 das 1.129 vulnerabilidades submetidas pela Anthropic até agora foram corrigidas. Isso significa que o gargalo na cibersegurança não é mais encontrar as falhas, mas sim corrigi-las.

Impacto e por que importa para decisões de negócio

A proliferação de vulnerabilidades não corrigidas representa um risco significativo para empresas de todos os portes, incluindo as brasileiras. O Brasil tem uma alta taxa de adoção de software de código aberto, especialmente no setor governamental, com 93% das organizações federais utilizando-o em 2017. Esse cenário se estende amplamente ao setor privado, que se beneficia da flexibilidade e do custo-benefício do open source. Consequentemente, a vasta maioria das empresas brasileiras está exposta a este novo volume de falhas de segurança.

O ambiente de ciberameaças no Brasil já é complexo, com o país sendo um alvo frequente de ataques de ransomware, roubo de dados e outras atividades cibercriminosas, exacerbado pela escassez de talentos em cibersegurança. A capacidade da IA em descobrir vulnerabilidades em ritmo acelerado, se cair nas mãos erradas, pode levar a uma explosão de exploits de dia zero, onde atacantes exploram falhas antes que os defensores sequer saibam de sua existência ou tenham tempo para corrigi-las.

Para as empresas, isso significa que as estratégias de cibersegurança precisam evoluir rapidamente. A dependência de ciclos de patching mensais ou semanais, comuns em muitos ambientes, se torna insustentável. A reputação da marca, a continuidade dos negócios e a conformidade regulatória, como a LGPD no Brasil, estão em risco caso as vulnerabilidades não sejam tratadas com a devida urgência. A sobrecarga das equipes de segurança, já pressionadas pela complexidade da migração para a nuvem e a crescente sofisticação dos ataques, será intensificada.

O que monitorar e próximos passos

Empresas brasileiras devem monitorar de perto a evolução das capacidades de IA na cibersegurança, tanto ofensivas quanto defensivas. É crucial que as organizações reavaliem suas posturas de segurança e considerem os seguintes passos:

• Acelerar ciclos de patching: Reduzir o tempo entre a descoberta de uma vulnerabilidade e a aplicação da correção deve ser uma prioridade máxima. Isso pode exigir a automação de processos de teste e implantação.
• Investir em automação e IA para defesa: A mesma tecnologia que acelera a descoberta de falhas pode ser usada para acelerar a detecção, triagem e, eventualmente, a remediação automática de vulnerabilidades. Ferramentas de gerenciamento de vulnerabilidades baseadas em IA podem ajudar a priorizar e mitigar riscos.
• Fortalecer a segurança da cadeia de suprimentos de software: Dada a dependência de software de código aberto, é essencial ter visibilidade e controle sobre os componentes utilizados e suas vulnerabilidades conhecidas.
• Capacitar equipes de segurança: A escassez de talentos em cibersegurança no Brasil exige investimento contínuo em treinamento e desenvolvimento para que os profissionais possam lidar com as novas ferramentas e o ritmo acelerado das ameaças.
• Colaboração com a comunidade open source: Contribuir para projetos de código aberto e apoiar seus mantenedores pode ajudar a fortalecer o ecossistema como um todo, incentivando a correção mais rápida de falhas.

O cenário atual não é para pânico, mas para uma avaliação honesta da capacidade de uma organização de operar na velocidade que a descoberta de vulnerabilidades acelerada por IA exige. A era em que a detecção de falhas era o principal gargalo da cibersegurança chegou ao fim. Agora, o desafio é a agilidade na resposta e a capacidade de integrar a IA como uma aliada fundamental na defesa contra ameaças cada vez mais sofisticadas.