Em 7 de abril, a Anthropic anunciou oficialmente o Mythos.
Naquela época, as discussões eram quase todas sobre: quão assustador é este modelo, se ele poderia sair do controle e por que a Casa Branca convocou uma reunião de emergência.
15 dias depois, a Microsoft anunciou que havia integrado o Mythos ao seu próprio Security Development Lifecycle (SDL).
Não é um teste, não é um piloto, é incorporar a varredura de vulnerabilidades por IA ao processo formal de desenvolvimento de software.
Juntos, esses dois eventos mostram uma coisa: o Mythos, no campo da cibersegurança, passou de "perigoso demais para ser liberado" para "ferramenta usada por grandes corporações".
O que é o SDL e o que a integração significa
O Security Development Lifecycle é uma metodologia de desenvolvimento seguro que a Microsoft usa desde 2004, exigindo que todos os produtos da Microsoft passem por revisão de segurança em cada estágio de desenvolvimento – do design ao código e à implantação. Isso não é opcional, é um processo obrigatório antes do lançamento de todos os produtos da Microsoft.
Integrar o Mythos ao SDL significa: antes do código da Microsoft entrar em produção, a IA fará uma varredura primeiro, procurando ativamente por vulnerabilidades.
A Microsoft usou seu próprio benchmark CTI-REALM para avaliar o Mythos, um teste projetado especificamente para "tarefas de detecção de engenharia no mundo real". O resultado foi uma "melhoria substancial em relação a modelos anteriores". Pontuações específicas não foram divulgadas, mas esse tipo de linguagem geralmente não é usado levianamente em comunicados oficiais da Microsoft.
Até que ponto o Mythos pode chegar
A Anthropic escreveu de forma muito direta no documento do Project Glasswing:
"Os modelos de IA agora podem descobrir autonomamente pontos fracos de software, encadear múltiplas vulnerabilidades de baixo risco em uma cadeia de exploração de ponta a ponta utilizável e gerar código de prova de conceito executável."
Em termos simples: antes, a IA podia dizer "há um risco potencial de injeção aqui", agora o Mythos pode dizer "há um risco de injeção aqui, junto com uma escalada de privilégios ali e esta falha de autenticação – já escrevi um script de exploração para você".
Isso não é uma ferramenta de varredura, é um membro de equipe vermelha que sabe fazer ataques combinados.
Atualmente, o Mythos já encontrou milhares de vulnerabilidades críticas em sistemas operacionais e navegadores – este número vem do comunicado da Microsoft, não de especulação.
Project Glasswing: Microsoft, Amazon, Apple
A Anthropic projetou um mecanismo de implantação controlada para o Mythos, chamado Project Glasswing – aberto apenas para certas grandes empresas, permitindo que usem essa capacidade sob restrições rigorosas de acesso.
As três empresas confirmadas como participantes são: Microsoft, Amazon, Apple.
O ponto em comum dessas três empresas: todas têm grandes volumes de código próprio que precisam de manutenção contínua de segurança, todas têm equipes de segurança internas capazes de usar tais ferramentas e todas têm recursos suficientes para lidar com o volume de vulnerabilidades que o Mythos encontra.
Este último ponto é crucial. Você não pode simplesmente abrir esta ferramenta para todos, porque depois de encontrar vulnerabilidades, elas precisam ser corrigidas. Se não for possível corrigi-las a tempo, a própria lista de vulnerabilidades se torna um risco – uma vez vazada, as consequências são piores do que se nunca tivessem sido descobertas. A lógica da implantação controlada está aqui.
A Microsoft não está apostando em um único modelo
Há uma frase digna de nota: no comunicado da Microsoft, eles dizem que "nenhum modelo único define nossa estratégia".
Isso significa: eles estão testando simultaneamente as capacidades de segurança de várias empresas de IA. O Mythos é o de melhor desempenho atualmente, mas eles mantêm o direito de mudar a qualquer momento.
A Microsoft projetou esta posição como uma estrutura de competição de múltiplos modelos, o vencedor atual é o Mythos, mas o assento não está garantido.
Para a Anthropic, esta é uma situação delicada – ser integrada ao processo de desenvolvimento central da maior empresa de software empresarial do mundo, mas poder ser substituída a qualquer momento. Esta posição de "útil, mas sem fosso" é típica no mercado de IA empresarial.
A Microsoft planeja lançar uma prévia da varredura de segurança de IA com múltiplos modelos em junho de 2026. Nessa época, mais dados de teste públicos devem estar disponíveis.
Por que os testes ofensivos de segurança por IA são uma grande mudança
A IA tem duas direções na cibersegurança:
Lado defensivo – ajuda a detectar ataques, filtrar tráfego malicioso e automatizar SOC. Este caminho já tem muitas empresas atuando e o mercado já está estabelecido.
Lado ofensivo (segurança ofensiva) – atua ativamente como um hacker, procurando vulnerabilidades em seu próprio código. Neste caminho, a oferta de membros humanos de equipe vermelha é limitada, os custos são altos e a cobertura é restrita. Em um ciclo de lançamento de produto, quantas rodadas de testes de equipe vermelha podem ser realizadas depende basicamente do tamanho da equipe.
O Mythos segue o segundo caminho e, de acordo com os dados atuais, sua capacidade já atingiu o nível de "pode ser usado em produção".
No dia do anúncio da Microsoft, as ações da MSFT subiram 1,86%. O veredito do mercado foi direto.
A pergunta mais interessante é: depois que a solução de varredura com múltiplos modelos for lançada em junho, ela se tornará o padrão para todas as grandes empresas de software? Se sim, este é um novo mercado de tamanho considerável, e hoje ainda existem poucos players no lado ofensivo.
Fontes de referência: CocoLoop, Microsoft to integrate Anthropic's Mythos into its security development program (Reuters/iTnews); AI-powered defense for an AI-accelerated threat landscape (Microsoft Security Blog); Microsoft (MSFT) Stock Integrates Anthropic Claude Mythos Into Security Framework (CoinCentral)