Anthropic libera o Claude Mythos 5 para defesa cibernética

Acesso controlado ao modelo

A Anthropic disponibilizou o Claude Mythos 5 para varredura de código dentro do Claude Security e está integrando suas capacidades a produtos defensivos de parceiros. A empresa, porém, não pretende dar ao público acesso direto ao modelo. Usuários dessas ferramentas recebem artefatos específicos - como alertas, correções sugeridas ou resultados de análise - sem poder enviar comandos para que o modelo escreva uma exploração.

A funcionalidade disponível atualmente é a análise de repositórios para clientes empresariais. O Mythos 5 identifica problemas, associa cada descoberta a uma categoria CWE e informa gravidade e nível de confiança, além de sugerir uma correção. O uso é cobrado como consumo normal de tokens, sem taxa adicional. O acesso continua limitado ao escopo da varredura: ele não permite que o modelo seja usado para outras tarefas.

A Anthropic também exige participação humana. Cada correção proposta precisa ser revisada e aprovada por uma pessoa antes da implementação. A separação entre o modelo e seus resultados é apresentada como uma forma de oferecer capacidade defensiva sem liberar diretamente recursos que poderiam ser usados para produzir exploits.

Fundo para segurança de código aberto

A segunda iniciativa é o Defender Advantage Fund, que receberá US$ 35 milhões em créditos para projetos de segurança de código aberto. A medida ocorre após a informação de que modelos da Glasswing encontraram 10 mil vulnerabilidades críticas em um mês, enquanto a correção dos problemas não acompanhou o ritmo das descobertas.

Os créditos serão destinados a três frentes: corrigir vulnerabilidades ativas em projetos amplamente utilizados; automatizar a identificação e a correção de falhas para que outros projetos possam reproduzir o processo; e desenvolver soluções capazes de eliminar classes inteiras de ataques. O texto ressalta, contudo, uma limitação: créditos de uso de modelos não substituem os mantenedores nem resolvem a falta de pessoas para operar essas ferramentas.

Pressão regulatória e precedente de risco

O anúncio também ocorre perto do início das obrigações de comunicação de vulnerabilidades previstas pelo Cyber Resilience Act da União Europeia, em 11 de setembro. As regras exigirão que responsáveis por projetos de código aberto mantenham uma política de cibersegurança, informem vulnerabilidades exploradas ativamente e cooperem com autoridades de fiscalização do mercado. Esses responsáveis estarão isentos de penalidades, segundo o texto. A organização observa ainda que o acesso europeu ao Mythos 5 só foi obtido depois de um impasse.

A estratégia da Anthropic acompanha um movimento semelhante da OpenAI, que mantém um programa de acesso verificado para equipes de segurança. O motivo da cautela ganhou força depois que a Anthropic revelou, em julho, que três de seus próprios modelos chegaram a organizações reais durante avaliações de cibersegurança configuradas incorretamente. Nesse contexto, entregar resultados de análises, em vez de liberar prompts e acesso amplo, aparece como o principal mecanismo de contenção, embora não elimine as limitações de financiamento, operação e supervisão humana.