Modelos abertos de IA superam Anthropic em caça a bugs de cibersegurança

O que a Anthropic promove como um feito exclusivo do seu modelo de IA especializado em cibersegurança, o Claude Mythos, pode estar com os dias contados. Dois estudos recentes demonstram que pequenos modelos de código aberto — e até mesmo modelos fechados menores — são capazes de replicar grande parte das análises de vulnerabilidades que a empresa apresentava como exclusividade do Mythos. Até então, a Anthropic mantinha o acesso ao modelo restrito a um consórcio de onze organizações, justificando que suas capacidades ofensivas eram tão avançadas que poderiam ser perigosas nas mãos erradas. Testes internos e uma auditoria do UK’s AI Security Institute haviam concluído que o Mythos conseguia identificar bugs em softwares, criar explorações funcionais por conta própria e até mesmo assumir o controle de redes corporativas inteiras em simulações — desde que a infraestrutura fosse “pequena, mal protegida e vulnerável”. No entanto, as recentes pesquisas colocam em xeque essa suposta exclusividade, sem, contudo, contestar o desempenho geral do modelo.

Os primeiros indícios vieram de um projeto independente chamado AISLE, que desde meados de 2025 vem utilizando IA para caçar bugs em softwares de código aberto. A equipe da AISLE já relatou 15 vulnerabilidades no OpenSSL e cinco no curl, duas bibliotecas amplamente usadas na internet. Stanislav Fort, fundador da AISLE, decidiu testar trechos de código disponibilizados publicamente pela Anthropic em uma variedade de modelos de IA, incluindo opções menores e parcialmente abertas. O objetivo era verificar até que ponto esses sistemas conseguiam reproduzir as descobertas do Mythos sem precisar de tanta capacidade computacional. Já a segunda pesquisa, conduzida pela Vidoc Security, combinou versões avançadas do GPT-5.4 e do Claude Opus 4.6 com o agente de codificação aberto OpenCode, para avaliar como diferentes modelos se saíam em tarefas de segurança cibernética. Os resultados surpreenderam: mesmo modelos com poucos parâmetros e custos baixos de processamento conseguiram identificar e, em alguns casos, explorar vulnerabilidades que a Anthropic apresentava como exclusivas do Mythos.

Um dos casos mais emblemáticos destacados pela Anthropic foi a vulnerabilidade no FreeBSD NFS (identificada como CVE-2026-4747), que o Claude Mythos teria descoberto e explorado de forma autônoma. Segundo a empresa, esse era um exemplo perfeito de como o modelo conseguia agir de maneira independente para encontrar e até mesmo criar exploits para brechas de segurança. No entanto, a AISLE testou oito modelos diferentes — incluindo o GPT-OSS-20b, que tem apenas 3,6 bilhões de parâmetros ativos e custa meros US$ 0,11 por milhão de tokens — e descobriu que todos eles conseguiram detectar o bug de memória na função em questão. Além de identificar a falha, os modelos também produziram explicações plausíveis sobre como explorá-la, compreendendo por que as proteções principais do sistema operacional não conseguiam barrar o ataque. O GPT-OSS-120b, por exemplo, chegou a gerar uma sequência de operações que, segundo a AISLE, se aproximava bastante do exploit real. Já o Kimi K2 foi além: sozinho, o modelo deduziu que o ataque poderia se espalhar automaticamente de uma máquina infectada para outras, um detalhe que nem mesmo a Anthropic havia mencionado em suas demonstrações.

O desafio, entretanto, surge quando a complexidade aumenta. Para explorar a vulnerabilidade no FreeBSD NFS, é necessário injetar um payload de mais de 1.000 bytes em um espaço disponível de apenas 304 bytes. O Claude Mythos conseguiu contornar essa limitação dividindo o payload em 15 requisições de rede separadas. Nenhum dos modelos testados pela AISLE chegou a essa solução exata, mas todos encontraram caminhos alternativos viáveis para explorar a falha. Já no caso da vulnerabilidade no OpenBSD, que exigia um entendimento matemático profundo sobre estouros de inteiros e estados de listas, os resultados foram bem mais variados. Segundo a AISLE, o GPT-OSS-120b reconstruiu toda a cadeia de exploits descrita publicamente em uma única execução e, ainda por cima, propôs a correção exata para o problema — que coincidentemente era o patch oficial do OpenBSD. O Qwen3 32B, que havia se saído bem no teste do FreeBSD, declarou que o código do OpenBSD era “robusto o suficiente para evitar tais cenários”.

A Vidoc Security enfrentou um desafio semelhante: enquanto o Claude Opus 4.6 conseguiu reproduzir a vulnerabilidade em todos os três testes realizados, o GPT-5.4 não conseguiu detectá-la em nenhuma das tentativas. Stanislav Fort, da AISLE, cunhou o termo “jagged frontier” (ou “fronteira irregular”) para descrever esse fenômeno: não existe um modelo único que seja o melhor em todas as tarefas de cibersegurança. As capacidades variam drasticamente de um teste para outro, e o que funciona em um cenário pode falhar completamente em outro. Em um dos testes mais reveladores, os pesquisadores apresentaram um trecho de código que parecia, à primeira vista, conter uma vulnerabilidade clássica de segurança: uma entrada de usuário fluindo sem filtros para uma consulta em banco de dados. No entanto, algumas linhas depois, descobria-se que essa entrada era descartada, tornando a suposta falha inexistente.

Dos 13 modelos da Anthropic testados, o Opus 4.6 acertou completamente a análise, enquanto o Sonnet 4.6 e o Opus 4.5 ficaram em um limiar entre correto e parcialmente correto. O Claude Sonnet 4.5, por sua vez, traçou o fluxo de dados na direção oposta da realidade, demonstrando uma compreensão equivocada do código. Do lado da OpenAI, o modelo o3 acertou consistentemente, enquanto o o4-mini obteve apenas resultados parciais. O GPT-OSS-20b foi considerado correto, mas todos os modelos da linha GPT-4.1 e a maioria das versões do GPT-5.4 falharam. Outros modelos abertos menores, como o Deepseek R1 e o Kimi K2, acertaram todas as vezes. Fort, no entanto, fez um adendo importante: embora todos os modelos tenham consistentemente identificado o código não corrigido do FreeBSD como vulnerável, apenas o GPT-OSS-120b — e, em menor grau, o Qwen3-32B — reconheceram que a versão corrigida do código estava segura.

Já os modelos GPT-OSS-20b, Kimi K2 e Deepseek R1 erraram em todas as execuções, inventando justificativas para supostas vulnerabilidades que não existiam. Fort não vê isso como um ponto contra seus argumentos. Pelo contrário: para ele, isso reforça que a camada de teste e classificação ao redor do modelo é o componente crítico. Sem um sistema robusto de validação, até mesmo os melhores modelos podem produzir resultados enganosos. A Vidoc também testou cenários além dos clássicos bugs de memória. Um deles envolvia uma falha no Botan, uma biblioteca de criptografia que permitia que um certificado falsificado fosse aceito como válido. Tanto o Claude Opus 4.6 quanto o GPT-5.4 detectaram a lacuna lógica em todas as três execuções. Já no caso do wolfSSL, testado em paralelo, ambos os modelos identificaram a parte correta do código, mas interpretaram erroneamente a regra criptográfica subjacente. O custo por arquivo analisado ficou abaixo de US$ 30, demonstrando que até mesmo modelos menores podem ser economicamente viáveis para varreduras em larga escala.

Os dois estudos convergem para uma conclusão comum: o verdadeiro diferencial não está no modelo em si, mas no sistema construído ao redor dele. Isso inclui validação rigorosa dos resultados, priorização inteligente das ameaças e integração eficiente em fluxos de trabalho. A análise completa abrange desde a escolha de alvos no código até a execução de testes passo a passo, passando pela verificação dos resultados e pela separação entre falsos positivos e vulnerabilidades reais. A AISLE vai além ao argumentar que modelos pequenos e baratos são mais do que suficientes para a maior parte do trabalho de descoberta de bugs, tornando viável uma estratégia de varredura ampla e constante. Nas palavras de Fort: “Mil detetives medianos vasculhando todo o código encontrarão mais bugs do que um único gênio que precisa adivinhar onde procurar“.

Ambos os relatórios deixam em aberto a possibilidade de que o Claude Mythos ainda mantenha alguma vantagem na construção de exploits prontos para uso, mas sugerem que essa lacuna deve diminuir rapidamente à medida que as ferramentas melhoram e os modelos ganham mais autonomia. Juntos, eles pintam um cenário em que a fronteira entre modelos de ponta e modelos abertos disponíveis publicamente é muito mais permeável do que a narrativa da Anthropic faz parecer — pelo menos no que diz respeito à descoberta de vulnerabilidades. Críticos da empresa já haviam acusado a Anthropic de usar o medo como estratégia de marketing, argumentando que a empresa estaria exagerando as capacidades do Mythos para justificar o atraso em liberar o acesso ao modelo para um público mais amplo. Segundo relatos do Financial Times, obtidos junto a “múltiplas fontes com conhecimento sobre o assunto”, a Anthropic estaria retendo o modelo até ter capacidade computacional suficiente para atendê-lo a uma base maior de clientes sem comprometer o desempenho.

Esse adiamento levanta questões sobre as reais motivações por trás da estratégia da empresa. Afinal, se modelos menores já conseguem replicar grande parte das funções do Mythos, por que mantê-lo restrito? A resposta pode estar justamente naquilo que os estudos independentes ainda não conseguiram testar em profundidade: a capacidade de gerar exploits prontos para uso em cenários do mundo real, não apenas em simulações controladas. Enquanto isso, a corrida pela automação em cibersegurança acelera. Empresas como a AISLE e a Vidoc estão demonstrando que, com as ferramentas certas, até mesmo modelos acessíveis podem fazer o trabalho pesado de identificar e priorizar vulnerabilidades, reduzindo a carga sobre as equipes de segurança e permitindo que os especialistas humanos se concentrem em soluções criativas e estratégicas.

O impacto desse avanço não pode ser subestimado. A cibersegurança sempre foi um campo dominado por especialistas humanos, cuja expertise leva anos para ser desenvolvida. Agora, com modelos de IA cada vez mais capazes, o equilíbrio de poder começa a mudar. Empresas de todos os tamanhos poderão realizar varreduras automatizadas mais frequentes e abrangentes, descobrindo vulnerabilidades antes que atacantes mal-intencionados as explorem. Isso não significa que os humanos serão dispensáveis: pelo contrário, a intervenção humana continua sendo crucial para validar descobertas, entender o contexto e, acima de tudo, decidir como responder a cada ameaça. No entanto, a automação está democratizando o acesso a capacidades que, até recentemente, estavam restritas a grandes corporações ou a equipes de segurança altamente especializadas.

Outro aspecto importante é o custo-benefício. Modelos menores e abertos não só são mais baratos para operar como também podem ser executados em hardware menos potente, reduzindo a barreira de entrada para pequenas e médias empresas. O GPT-OSS-20b, por exemplo, custa meros US$ 0,11 por milhão de tokens, um valor irrisório se comparado aos custos de se operar um modelo de última geração como o Mythos. Isso torna viável a implementação de soluções de IA em projetos de código aberto, onde o orçamento é muitas vezes limitado. Além disso, a natureza aberta desses modelos permite que pesquisadores e desenvolvedores ao redor do mundo contribuam para seu aprimoramento, criando um ciclo virtuoso de inovação.

No entanto, há desafios a serem superados. Um deles é a confiabilidade. Como demonstrado nos testes, mesmo os melhores modelos podem cometer erros, especialmente em cenários complexos ou pouco convencionais. A capacidade de distinguir entre um falso positivo e uma vulnerabilidade real é fundamental, e é aí que entram os sistemas de validação e classificação mencionados pelos pesquisadores. Sem eles, o risco de sobrecarga de informações ou de ignorar ameaças reais é alto. Outro desafio é a segurança dos próprios modelos. Se modelos de IA podem ser usados para encontrar bugs, eles também podem ser explorados para criar novos tipos de ataques. A cibersegurança está entrando em uma nova era, na qual a defesa e o ataque evoluem lado a lado, e os modelos de IA são armas de dois gumes.

O futuro da cibersegurança com IA parece promissor, mas também repleto de incertezas. Por um lado, temos a promessa de uma detecção mais rápida e precisa de vulnerabilidades, permitindo que as organizações se protejam antes que os danos ocorram. Por outro, há o risco de que modelos mal implementados ou mal intencionados sejam usados para explorar sistemas de maneiras que ainda não conseguimos prever. A chave para o sucesso estará em como equilibramos inovação e responsabilidade, garantindo que as ferramentas que criamos sejam usadas para proteger, e não para prejudicar. À medida que a fronteira entre modelos fechados e abertos se dissolve, cabe às empresas, governos e pesquisadores trabalharem juntos para estabelecer padrões éticos e técnicos que orientem o desenvolvimento e a implementação dessas tecnologias.

Para a Anthropic, os recentes estudos representam um momento de reflexão. Se modelos menores e abertos já conseguem desempenhar grande parte do trabalho que antes era apresentado como exclusividade do Mythos, a empresa precisará justificar melhor o valor de manter o modelo restrito. Isso pode envolver investimentos em áreas onde o Mythos ainda oferece vantagens claras, como a geração de exploits prontos para uso em ambientes complexos, ou na integração com outras ferramentas de segurança para criar soluções mais completas. Também pode ser necessário repensar a estratégia de comunicação, deixando de lado retóricas de exclusividade e focando em demonstrar como o Mythos pode complementar, e não substituir, outras abordagens de cibersegurança.

Por enquanto, uma coisa é certa: a era da IA na cibersegurança está apenas começando, e os próximos anos prometem trazer avanços tão rápidos quanto imprevisíveis. Modelos como o Claude Mythos podem ter sido os primeiros a mostrar o potencial da IA autônoma em encontrar e explorar vulnerabilidades, mas eles não serão os últimos. À medida que a tecnologia avança e mais pesquisadores entram nesse campo, a competição se tornará ainda mais acirrada, beneficiando não apenas as empresas que desenvolvem esses modelos, mas também as que os utilizam para se proteger. Em um mundo cada vez mais digital, a capacidade de detectar e corrigir vulnerabilidades rapidamente será um dos principais diferenciais entre organizações resilientes e aquelas que se tornam vítimas de ataques cada vez mais sofisticados.

Enquanto isso, os desenvolvedores e pesquisadores independentes continuam a desafiar o status quo, provando que o futuro da cibersegurança não está apenas nas mãos de algumas poucas empresas, mas em uma comunidade global de inovadores dispostos a explorar os limites daquilo que a IA pode fazer. Seja por meio de modelos abertos ou de abordagens proprietárias, o objetivo final permanece o mesmo: tornar o mundo digital um lugar mais seguro para todos. E, à luz dos recentes avanços, parece que estamos mais perto desse objetivo do que nunca.