Claude Mythos, da Anthropic, encontrou 231 falhas na Microsoft em um mês — e a empresa não consegue corrigi-las rápido o suficiente

De forma mais ampla, em todo o Project Glasswing, o Mythos identificou mais de 10 mil vulnerabilidades de alta ou gravidade crítica em softwares sistemicamente importantes em todo o mundo desde o lançamento do programa . O painel de divulgação coordenada de vulnerabilidades da Anthropic relata 1.596 vulnerabilidades divulgadas em 281 projetos de código aberto em 22 de maio de 2026, com cerca de 23.019 achados triados e 1.900 candidatos priorizados .

A Crise de Triagem Interna da Microsoft

A lacuna entre descoberta e correção foi descrita como uma crise de triagem existencial — a IA encontra falhas mais rápido do que as equipes humanas de correção conseguem analisar, reproduzir e corrigir . Apresentações internas da Microsoft supostamente reconhecem que a empresa não consegue acompanhar o ritmo de descoberta impulsionado pelo Mythos . Um slide interno de uma apresentação da Microsoft observou que a empresa planeja eventualmente lidar com falhas de gravidade moderada, mas o foco imediato é apenas em vulnerabilidades críticas e importantes .

O Patch Tuesday de Julho de 2026: Recorde Histórico

Em 14 de julho de 2026, a Microsoft lançou seu maior Patch Tuesday da história, corrigindo 622 vulnerabilidades — o triplo do total de junho de 2026 e aproximadamente cinco vezes a média mensal . Os números variam ligeiramente conforme a fonte, com algumas reportando 569–622 CVEs . O lançamento incluiu:

• 59 falhas de gravidade crítica
• Três falhas de dia zero, duas das quais — CVE-2026-56155 no Active Directory Federation Services e CVE-2026-56164 no SharePoint Server — já estavam sendo ativamente exploradas antes da existência de patches
• 416 defeitos no Windows, além de correções no Office, SharePoint, Azure, Hyper-V e Visual Studio

A CrowdStrike observou que este lançamento "reforça que a era dos 'pequenos' Patch Tuesdays pode ter acabado, à medida que a descoberta de vulnerabilidades impulsionada por IA acelera" . Apenas um mês antes, junho de 2026 já havia quebrado o recorde anterior com 206 CVEs .

Hitachi Adere ao Project Glasswing para Infraestrutura Crítica

A Hitachi aderiu ao Project Glasswing em junho de 2026, obtendo acesso ao Claude Mythos Preview para auditar seu software de infraestrutura social — particularmente no setor de energia . Em 28 de julho de 2026, a Hitachi relatou que o Mythos reduziu os processos de validação de segurança de semanas para prazos drasticamente mais curtos, criando com sucesso modelos de ameaça para milhões de linhas de código-fonte e confirmando a aplicabilidade prática do modelo em infraestruturas críticas .

Alerta Five Eyes: 'O Prazo Não São Anos, São Meses'

Em 22 de junho de 2026, a aliança de inteligência Five Eyes (EUA, Reino Unido, Canadá, Austrália, Nova Zelândia) emitiu uma rara declaração pública conjunta alertando que modelos de IA de ponta estão prestes a turbinar capacidades ofensivas de hacking em meses, não anos . A aliança afirmou: "Espera-se que os modelos de IA de fronteira superem as expectativas atuais da indústria, transformando fundamentalmente as capacidades cibernéticas ofensivas e defensivas. O prazo não são anos, são meses" . O aviso veio semanas depois de o governo Trump ordenar que a Anthropic restringisse o acesso de estrangeiros a seus modelos Mythos e Fable . Embora a declaração do Five Eyes não mencione empresas específicas, a Reuters e outros veículos ligaram a urgência diretamente a preocupações com o modelo Mythos da Anthropic .

Implicações Mais Amplas: O Descompasso na Velocidade de Correção

A taxa de descoberta do Mythos expôs um descompasso fundamental entre a descoberta de vulnerabilidades impulsionada por IA e a correção liderada por humanos. Especialistas em segurança levantaram preocupações:

• Descompasso na velocidade de correção: a IA descobre falhas em velocidade de máquina, mas a triagem humana e o desenvolvimento de patches permanecem limitados por processos manuais .
• Risco de acúmulo: milhares de falhas de alta gravidade se acumulando forçam decisões de priorização impossíveis, deixando muitos sistemas expostos .
• Fragilidade da infraestrutura: o trabalho da Hitachi mostra que a descoberta impulsionada por IA agora visa sistemas de controle industrial e infraestrutura de energia, onde a correção é ainda mais lenta devido a requisitos de tempo de atividade e restrições regulatórias .
• Assimetria ofensiva: a mesma capacidade de IA usada defensivamente no Project Glasswing pode ser armamentizada por adversários, criando uma assimetria sem precedentes em operações cibernéticas .

Como observou um analista de segurança: "Antes, nos preocupávamos em encontrar bugs. Agora, nos preocupamos em encontrá-los mais rápido do que conseguimos corrigi-los. O gargalo mudou da descoberta para a correção — e ainda não temos IA para isso."

O Que as Organizações Devem Fazer Agora

O alerta do Five Eyes listou cinco ações práticas para empresas: reduzir a superfície de ataque, corrigir mais rapidamente, presumir a violação, investir em detecção e resposta e endurecer a infraestrutura de identidade . Para a maioria das equipes de segurança empresarial, isso significa repensar programas de gerenciamento de vulnerabilidades que foram projetados para um mundo de descoberta em ritmo humano. Correção automatizada, triagem assistida por IA e priorização baseada em risco não são mais opcionais — são táticas de sobrevivência.

O Claude Mythos da Anthropic provou que a IA pode encontrar vulnerabilidades em escala e velocidade sem precedentes. A questão agora é se o ecossistema global de segurança cibernética pode evoluir rápido o suficiente para corrigi-las.