Anthropic Avisa que Ciberataques Impulsionados por IA Vão Aumentar Dentro de 24 Meses

Zach Anderson 10 de abr. de 2026 23:18

A Anthropic lança diretrizes de segurança enquanto o Project Glasswing revela que modelos de IA de fronteira já conseguem encontrar e explorar vulnerabilidades mais rapidamente do que defensores humanos.

A Anthropic divulgou uma avaliação preocupante esta semana: dentro de dois anos, modelos de IA vão descobrir um vasto número de vulnerabilidades de software que permaneceram despercebidas no código durante anos — e encadeá-las em exploits funcionais. As equipas de segurança da empresa lançaram recomendações defensivas detalhadas juntamente com o Project Glasswing, a sua iniciativa para implementar as capacidades do Claude Mythos Preview para defesa cibernética.

A matemática aqui não é complicada. Se os atacantes conseguirem usar modelos de fronteira para automatizar a descoberta de vulnerabilidades e a geração de exploits, o intervalo entre o lançamento de uma correção e o aparecimento de um exploit funcional reduz-se drasticamente. Os engenheiros de segurança da Anthropic observaram isto acontecer nos seus próprios testes.

O Que a Investigação Deles Realmente Descobriu

De acordo com as descobertas técnicas da Anthropic, os modelos de IA destacam-se no reconhecimento de assinaturas de vulnerabilidades conhecidas em sistemas não corrigidos. Reverter uma correção num exploit funcional — exatamente o tipo de análise mecânica que estes modelos lidam bem — costumava exigir competências especializadas. Agora está a tornar-se automatizado.

A empresa observou que modelos disponíveis publicamente abaixo dos níveis de capacidade do Mythos já conseguem encontrar vulnerabilidades graves que revisões de código tradicionais perderam durante períodos prolongados. As vulnerabilidades do Mozilla Firefox descobertas através de digitalização de IA servem como um exemplo documentado.

O Manual Defensivo

As recomendações da Anthropic priorizam controlos que resistem mesmo contra atacantes com paciência ilimitada e assistência de IA. Medidas de segurança baseadas em fricção — saltos de pivô extra, limites de taxa, portas não padrão — perdem eficácia quando adversários conseguem ultrapassar passos tediosos automaticamente.

As suas principais prioridades:

A velocidade de correção importa mais do que nunca. As aplicações voltadas para a Internet devem receber correções dentro de 24 horas após um exploit ficar disponível. O catálogo CISA Known Exploited Vulnerabilities deve ser tratado como uma fila de emergência. A Anthropic recomenda usar o EPSS (Exploit Prediction Scoring System) para priorizar todo o resto.

Prepare-se para um volume 10 vezes maior de relatórios de vulnerabilidades. Nos próximos dois anos, os processos de receção e triagem vão enfrentar pressão que nunca experimentaram. Organizações que ainda realizam reuniões semanais com folhas de cálculo não conseguirão acompanhar o ritmo.

Digitalize o seu próprio código com modelos de fronteira antes que os atacantes o façam. Esta foi a recomendação mais enfatizada da Anthropic. Código legado que antecede as práticas de revisão atuais — especialmente código cujos autores originais já não estão presentes — representa o alvo de maior valor para digitalização proativa.

Zero Trust Torna-se Real

A orientação empurra fortemente em direção a credenciais vinculadas a hardware e isolamento de serviços baseado em identidade. Um servidor de compilação comprometido não deve alcançar bases de dados de produção. Um laptop comprometido não deve tocar na infraestrutura de compilação.

Chaves da API estáticas, credenciais incorporadas e palavras-passe de contas de serviço partilhadas são descritas como "entre as primeiras coisas que um atacante com análise de código assistida por modelo vai encontrar."

Para Operações Menores

Organizações sem equipas de segurança dedicadas receberam conselhos específicos: ativar atualizações automáticas em todo o lado, preferir serviços geridos em vez de auto-hospedagem, usar chaves de acesso ou chaves de segurança de hardware e ativar ferramentas de segurança gratuitas de anfitriões de código como o Dependabot e CodeQL do GitHub.

Os mantenedores de código aberto devem esperar um volume maior de relatórios de vulnerabilidades — alguns valiosos, alguns ruído automatizado. Publicar um SECURITY.md com processos claros de receção ajuda a separar o sinal do spam.

A Anthropic comprometeu-se a atualizar esta orientação à medida que o Project Glasswing progride. Para empresas que acompanham a conformidade SOC 2 e ISO 27001, a maioria das recomendações mapeia-se diretamente aos controlos existentes. A diferença agora é a urgência.

• cibersegurança
• inteligência artificial
• anthropic
• claude
• segurança empresarial