DE CAPACIDADE EXPERIMENTAL A TENDÊNCIA CONSOLIDADA DO SETOR
Em nosso Alerta Consultivo anterior sobre os desenvolvimentos de IA da Anthropic e suas implicações para o risco cibernético, destacamos o Projeto Glasswing, iniciativa de cibersegurança da Anthropic construída em torno do Claude Mythos Preview: um modelo de IA de fronteira concebido para varrer ambientes digitais, identificar vulnerabilidades ocultas e avaliar se essas fragilidades são exploráveis na prática.
Embora a IA venha sendo utilizada há bastante tempo para fortalecer defesas cibernéticas, o Mythos Preview representou uma mudança relevante pela sua capacidade de identificar vulnerabilidades zero-day e vulnerabilidades de software correlatas em velocidade e escala anteriormente reservadas a pesquisadores altamente especializados. Seu desenvolvimento levantou questões mais amplas sobre o que significa lançar modelos de IA orientados a cibersegurança cada vez mais capazes antes que as estruturas de governança, segurança e regulação tenham acompanhado plenamente essa evolução.
A LINHA DO TEMPO DA MYTHOS, EM RÁPIDA EVOLUÇÃO NA ANTHROPIC
Desde aquele alerta, a trajetória da Mythos avançou rapidamente. Posteriormente, a Anthropic lançou o Claude Mythos 5 atualizado, embora o acesso tenha permanecido restrito a defensores cibernéticos e provedores de infraestrutura previamente avaliados por meio do Projeto Glasswing. A Anthropic também apresentou o Claude Fable 5 em 9 de junho, marcando o primeiro modelo da classe Mythos disponível publicamente. Segundo a Anthropic, o Fable 5 utiliza o mesmo modelo subjacente do Mythos 5, mas acrescenta salvaguardas destinadas a limitar o uso indevido em domínios de alto risco, como cibersegurança, biologia e química, incluindo o direcionamento de determinadas consultas sensíveis ao Claude Opus 4.8.
Dias depois, a Anthropic suspendeu o acesso tanto ao Fable 5 quanto ao Mythos 5 após uma diretriz de controle de exportação do governo dos Estados Unidos, em meio a preocupações de que as salvaguardas do Fable 5 pudessem ser contornadas.
A relevância desse desenvolvimento evidencia uma questão regulatória mais ampla: como modelos de IA de fronteira devem ser governados quando combinam capacidades cibernéticas avançadas, ampliação de acessibilidade e sensibilidade de segurança nacional?
A linha do tempo mudou novamente depois que o Departamento de Comércio dos Estados Unidos suspendeu os controles de exportação sobre o Claude Fable 5 e o Claude Mythos 5, permitindo que a Anthropic começasse a restabelecer o acesso às plataformas a partir de 1º de julho. A Anthropic anunciou que o Fable 5 voltará a estar disponível globalmente por meio do Claude, Claude.AI e Claude Code, enquanto o acesso ao Mythos 5 foi restabelecido para determinadas organizações norte-americanas aprovadas, após autorização governamental concedida em 26 de junho. A Anthropic também indicou que continuará trabalhando com o governo dos Estados Unidos para ampliar o acesso ao Mythos 5 por meio do Projeto Glasswing.
ALÉM DA ANTHROPIC: O SURGIMENTO DE UMA NOVA CLASSE DE CAPACIDADES DE IA
Embora a Anthropic tenha concentrado grande parte da atenção inicial em torno da implantação de modelos de IA de fronteira, desenvolvimentos recentes sugerem que a Mythos é melhor compreendida como um exemplo inicial de uma categoria mais ampla de sistemas de IA altamente capazes e focados em cibersegurança, e não como uma inovação isolada.
A linha GPT-5.6 da OpenAI, conforme reportado, incluindo a versão mais acelerada, “Sol”, parece refletir tendência semelhante em direção a modelos altamente capazes, otimizados para tarefas complexas de software e cibersegurança. Tal como ocorreu com a Mythos, o acesso teria sido inicialmente limitado a parceiros aprovados antes de uma implantação mais ampla.
Separadamente, avanços em cibersegurança com IA vinculados à China ressaltam que capacidades comparáveis estão surgindo em diferentes jurisdições. Consequentemente, discussões sobre acesso a modelos, controles de exportação, salvaguardas, avaliação de parceiros e prontidão cibernética estão cada vez mais entrelaçadas com competitividade nacional e considerações geopolíticas. Notadamente, os avanços chineses parecem ter alterado o diálogo em Washington.
Esses desenvolvimentos sugerem que sistemas de IA altamente capazes e focados em cibersegurança dificilmente permanecerão confinados, por muito tempo, a um pequeno grupo de organizações ou países.
O QUE ISSO SIGNIFICA PARA A MINHA CIBERSEGURANÇA?
Para as organizações, a principal conclusão não é se os modelos Mythos ou Fable da Anthropic terão sucesso ou fracassarão. Em vez disso, o ponto central é que a crescente acessibilidade das tecnologias de IA de fronteira amplia tanto as capacidades de defesa cibernética quanto a atividade de ameaças cibernéticas.
Embora Mythos e Fable possam inicialmente ter dominado as manchetes, desenvolvimentos em andamento da OpenAI, de empresas chinesas de tecnologia e de outros desenvolvedores de IA mostram que o ambiente de risco cibernético está sendo moldado por uma corrida mais ampla para desenvolver, por vezes restringir e, em última instância, implantar capacidades de IA de fronteira.
Esses sistemas podem oferecer vantagens defensivas significativas ao ajudar as organizações a:
- Identificar vulnerabilidades com mais rapidez
- Priorizar correções e atualizações
- Aprimorar a detecção de ameaças e o monitoramento de segurança
- Fortalecer a resiliência cibernética geral
No entanto, as mesmas capacidades também podem beneficiar agentes maliciosos ao:
- Permitir reconhecimento mais rápido
- Aprimorar a descoberta e exploração de vulnerabilidades
- Aumentar a escala e a sofisticação do desenvolvimento de ataques
- Reduzir as barreiras técnicas de entrada para adversários menos experientes
PRIORIDADES DE CIBERSEGURANÇA EM UM AMBIENTE DE AMEAÇAS ACELERADO POR IA
As empresas estarão melhor posicionadas para atuar nesse cenário em evolução ao fortalecer a governança, melhorar a visibilidade sobre onde e como a IA está sendo utilizada na organização, reavaliar dependências de terceiros e da cadeia de suprimentos, e manter controle claro sobre seus sistemas, dados e fluxos de trabalho críticos.
Quanto a esse último ponto, as empresas devem continuar dominando controles fundamentais de higiene cibernética. Eles incluem:
- Autenticação multifator (MFA) e controles de gestão de identidade
- Políticas robustas de senhas e de acesso privilegiado
- Tecnologias de detecção e proteção de endpoints
- Programas de gestão de vulnerabilidades e correções
- Padrões seguros de configuração de sistemas
- Controles de segurança de rede, incluindo firewalls, VPNs e segurança de e-mail
- Medidas de proteção de dados, como backups e criptografia
- Capacidades de monitoramento de segurança, registro de logs, alertas e resposta a incidentes
Para as empresas que já contam com os controles básicos implementados, deve-se considerar a transição de uma postura focada em prevenção para uma posição mais assertiva de detecção e contenção, por meio da implementação de controles de próximo nível.
Em última análise, uma estratégia de segurança da informação voltada ao futuro deve considerar a incorporação de controles avançados com capacidade de prever e automatizar a defesa utilizando ferramentas impulsionadas por IA. É importante observar que muitas dessas ferramentas avançadas amplamente disponíveis hoje ainda enfrentam problemas de precisão, com falsos positivos consumindo recursos valiosos e falsos negativos deixando exposições sem tratamento. Há uma certeza: essa corrida continuará, e ninguém dispõe do privilégio de permanecer como espectador indiferente à margem.
COMO A LOCKTON PODE AJUDAR?
A equipe de Cyber & Technology da Lockton continua monitorando esses desenvolvimentos, ajudando clientes a traduzir mudanças técnicas em decisões práticas de risco e a se antecipar às expectativas de subscrição em evolução.
À medida que capacidades cibernéticas habilitadas por IA se tornam mais acessíveis em diferentes desenvolvedores, jurisdições e setores, a Lockton pode ajudar organizações a avaliar as implicações para:
- Governança e controles de cibersegurança
- Gestão de riscos de terceiros e fornecedores
- Preparação para incidentes e planejamento de resposta
- Desenho do programa de seguros e estratégia de cobertura
- Expectativas emergentes de subscrição
Ao alinhar a gestão de risco cibernético, a resiliência operacional e a estratégia de seguros, as organizações podem se preparar melhor para um ambiente de ameaças cada vez mais moldado por capacidades de IA de fronteira.
Caso recebamos novas atualizações, comunicaremos oportunamente. Para dúvidas adicionais, entre em contato com a equipe de Cyber & Technology da Lockton. Para consultas gerais sobre este assunto, entre em contato pelo e-mail cyber@lockton.com
