Por muitos anos, a segurança cibernética seguiu uma estrutura semelhante: surge uma vulnerabilidade, um patch é produzido, as equipes de TI aplicam esse patch e tudo continua até o ciclo se repetir. Com a evolução da IA, esse ciclo ficou cada vez mais curto e frequente, já que os agressores ganharam sofisticação. Quando a Anthropic anunciou o Claude Mythos, não lançou apenas um modelo de IA mais poderoso, mas revelou uma ruptura fundamental com pressupostos que sustentam a segurança corporativa há décadas. O Claude Mythos é um sistema capaz de encontrar de forma autônoma milhares de vulnerabilidades críticas em todos os principais sistemas operacionais e navegadores, gerando explorações funcionais sem intervenção humana, tudo em uma velocidade e escala muito superiores aos recursos anteriores.
Nos últimos anos, vimos o prazo disponível para as organizações aplicarem patches em seus sistemas diminuir exponencialmente. Em 2018, o tempo médio entre o fechamento de uma vulnerabilidade e a primeira exploração observada era de 771 dias. Em 2023, esse tempo caiu para 6 dias. Em 2024, foi de 4 horas. Em 2025, a maioria das vulnerabilidades exploradas passou a ser utilizada em ataques antes mesmo de sua divulgação pública.
O Claude Mythos leva esse cenário a um novo patamar, permitindo que qualquer pessoa encontre explorações em velocidade de máquina e por uma fração do custo. O que os principais CISOs do mundo e pesquisadores independentes estão alertando não é uma ameaça que aparece no horizonte. A ameaça está acontecendo agora, e a tendência é que continue crescendo. Para líderes de TI e PMEs, os recursos já estão no limite, e o tempo para se preparar é menor do que se imagina. Este artigo explica o que realmente é o Claude Mythos, por que ele muda as práticas de segurança e quais ações prioritárias sua empresa precisa adotar imediatamente.
O que é o Claude Mythos?
O Claude Mythos é o modelo de IA mais poderoso já criado pela Anthropic. Testando o modelo em um grupo beta, a empresa optou por não lançá-lo ao público depois de observar toda a sua capacidade em ação.
Para entender o tamanho do salto em relação aos modelos anteriores, a Anthropic fez um experimento interno colocando o Mythos para competir com seu modelo anterior na mesma tarefa: identificar vulnerabilidades na versão mais recente e totalmente corrigida do Firefox. O modelo anterior encontrou duas vulnerabilidades, enquanto o Mythos identificou 181.
O que torna o Mythos especialmente perigoso é sua capacidade de encontrar vulnerabilidades de forma autônoma e gerar aberturas para elas instantaneamente, sem a necessidade de orientação humana. Isso tudo sem exigir preparação especial nem equipe de especialistas. Durante esse teste, o Mythos também encontrou falhas que passaram despercebidas por mais de 27 anos.
Por que a Anthropic restringiu o Mythos e por que isso é importante
A decisão da Anthropic de não liberar o Mythos amplamente não foi uma precaução rotineira ou apenas marketing. Essa decisão aconteceu a partir da compreensão fundamental de alguns dos maiores especialistas em segurança depois de avaliarem o risco gigantesco de comprometer uma quantidade enorme de sistemas.
Essa abordagem levou a Anthropic a restringir totalmente o modelo e lançar o Projeto Glasswing. Um grupo seleto de fornecedores de infraestrutura crítica recebeu acesso antecipado para começar a aplicar patches em seus próprios sistemas e limitar a superfície explorável por modelos semelhantes.
A mensagem nessa decisão é clara: a assimetria é real, e a ameaça também.
Projeto Glasswing: um mês depois
Nas semanas após o anúncio do Mythos, a Anthropic publicou resultados iniciais do Projeto Glasswing, que traduzem a dimensão dessa mudança em números concretos:
- Mais de 10.000 vulnerabilidades de gravidade alta ou crítica foram descobertas nos sistemas de parceiros só no primeiro mês, com cada um da maioria dos parceiros identificando centenas
- A Cloudflare sozinha identificou 2.000 falhas — 400 delas de gravidade alta ou crítica —, com uma taxa de falsos positivos melhor que a de testadores humanos
- A Mozilla encontrou e corrigiu 271 vulnerabilidades no Firefox 150 usando o Mythos Preview, mais de dez vezes o número identificado com o modelo Claude anterior
- Mais de 6.200 vulnerabilidades de gravidade alta ou crítica foram identificadas em mais de 1.000 projetos de código aberto, com empresas independentes de segurança confirmando uma taxa de 90,6% de verdadeiros positivos
- O Instituto de Segurança de IA do Reino Unido relata que o Mythos Preview é o primeiro modelo a resolver por completo seus dois testes de simulação de ataque cibernético do começo ao fim
- As taxas de identificação de falhas aumentaram em mais de 10 vezes entre diversos parceiros quando comparadas aos métodos anteriores
- O novo gargalo está na capacidade humana, não em encontrar vulnerabilidades, mas sim em verificar, divulgar e aplicar patches com rapidez suficiente. Alguns serviços de manutenção de projetos de código aberto solicitaram que a Anthropic reduzisse a velocidade de divulgação por não conseguirem acompanhar o ritmo
- O tempo médio para aplicar patches em uma vulnerabilidade de gravidade alta ou crítica encontrada pelo Mythos Preview é de duas semanas atualmente, um prazo que precisará ser drasticamente reduzido com o uso em massa desses recursos
Por que líderes de TI devem agir agora: o cenário de ameaças mudou para sempre com o Claude Mythos
O Claude Mythos não é o primeiro modelo de IA a abalar o mundo da segurança cibernética, mas é a primeira vez que vemos essa transformação acontecer tão rápido e nessa escala. O que diferencia o Mythos dos modelos de IA anteriores é justamente a combinação de velocidade, autonomia e acessibilidade ao mesmo tempo.
Esses modelos anteriores podiam auxiliar os agressores, enquanto o Mythos pode substituí-los. O Mythos não precisa de um operador experiente como guia, de um ambiente técnico elaborado para funcionar nem de dias de análise para entregar resultados. O modelo encontra a vulnerabilidade, desenvolve a exploração e entrega um vetor de ataque autônomo funcional.
A justificativa da urgência para as empresas é a mais grave possível. Segundo o Relatório de Investigação de Violações de Dados de 2025 da Verizon, ransomwares estiveram presentes em 88% dos incidentes de violação em PMEs frente a apenas 39% em grandes empresas. A sua empresa é o principal alvo dos agressores. Em 2025, o valor mediano pago em resgates foi de US$ 115.000. Isso sem considerar os custos de recuperação, inatividade, implicações jurídicas ou dano à reputação.
Segundo o Relatório de Ameaças a PMEs de 2026 da VikingCloud, 40% das PMEs avaliam que um ataque cibernético que custe US$ 100.000 ou menos já seria suficiente para causar sua falência. O valor mediano do resgate já ultrapassa esse limite e é provavelmente menor do que você imagina. Para organizações que pagam e sobrevivem ao incidente inicial, o Relatório de Custo de Violações de Dados de 2024 da IBM aponta que o custo médio de violação para empresas com menos de 500 funcionários é de US$ 3,31 milhões, 33 vezes acima do limite que a maioria das PMEs afirma não ser capaz de suportar. Para a maioria das PMEs, uma única violação já seria o suficiente para fechar as portas.
Em um cenário do porte do Mythos, em que o tempo para a instrumentalização de explorações passou de semanas para horas, a dúvida não é se a sua empresa vai ser atacada, mas sim se estará pronta para sobreviver ao ataque que certamente acontecerá.
Mito x realidade: resposta às críticas
| Mito | Realidade |
|---|---|
| Milhares de vulnerabilidades graves | As falhas são reais. Cada execução identifica falhas diferentes. Agora, esse recurso é contínuo e barato. |
| Autonomia total | Os resultados vêm de um modelo combinado com uma estrutura de orquestração, não apenas do modelo atuando por conta própria. |
| Vai quebrar toda a segurança | Fundamentos como aplicação de patches, autenticação multifator, segmentação e privilégio mínimo seguem funcionando e sendo mais importantes do que nunca. |
| É como um serviço de teste de invasão com IA | Na verdade, é mais como uma IA revisora de código-fonte. Não é tão eficiente em testes de modelo de "caixa-preta". |
| Não passa de marketing exagerado | Mais de 60 líderes independentes em segurança elaboraram um documento sobre os riscos reais, sem interesse comercial no resultado |
Segundo a Cloud Security Alliance, a interpretação sincera e realista é que o Mythos representa um avanço real em pesquisa de vulnerabilidades com IA, e a verdadeira inovação está nos processos e na evolução do desenvolvimento de explorações. A mudança real é quem pode executar esses ataques, com que velocidade e a que custo. Chegamos agora em um ponto de aceleração permanente, em que criminosos comuns terão acesso a recursos antes disponíveis apenas para poucos.
Como funciona a cadeia de explorações
Para líderes de TI, entender como esses ataques acontecem é tão importante quanto saber se estão acontecendo. Com o Mythos, esse processo é ainda mais complexo e sistemático do que antes.
O UK AISI avaliou a prévia do Claude Mythos fazendo uma simulação de ataque a empresa organizado em 32 etapas, começando pelo reconhecimento inicial até a tomada de controle completa da rede. Eles estimaram que o processo levaria 20 horas para um profissional humano. O Claude Mythos completou o ataque do início ao fim em 3 de 10 tentativas sem intervenção humana.
É por isso que CISOs estão soando o alerta. Além de o Mythos fazer varreduras em busca de vulnerabilidades, ele também lê o código-fonte para identificar pontos de falha. Quando a vulnerabilidade é confirmada, o Mythos gera uma exploração funcional sem nenhuma intervenção humana. Na prática, um ataque baseado em uma IA como o Mythos pode conseguir acesso de administrador em apenas 8 minutos. Para efeito de comparação, um ataque de um humano qualificado normalmente leva algumas horas ou até dias para chegar ao mesmo resultado.
O plano padrão de resposta a incidentes de uma empresa é baseado em tempos médios de detecção de 24 horas ou mais, sendo que a contenção muitas vezes leva ainda mais tempo. Com 8 minutos, um ataque de IA chega aos sistemas críticos antes mesmo de a maior parte das equipes de segurança receberem o primeiro alerta — ou seja, muito antes de iniciarem uma resposta.
A parte mais perigosa é o que acontece depois da invasão inicial. O Mythos combina diversas vulnerabilidades em uma sequência de ataque de vários passos, explorando uma falha para obter acessos que elevam privilégios na rede até alcançar sistemas críticos.
É importante lembrar: cada patch lançado agora também serve como um guia de exploração, e o Mythos pode reverter o patch para identificar a vulnerabilidade corrigida.
10 perguntas que líderes de TI devem considerar hoje
Antes de construir um plano de resposta, você precisa fazer uma avaliação sincera da situação atual. Essas perguntas são feitas para chegar rapidamente à verdade:
- Qual é a nossa posição real sobre IA hoje? É um recurso permitido, tolerado, restrito ou desconhecido?
- Já fizemos o inventário de todos os terminais, navegadores e sistemas operacionais, incluindo dispositivos pessoais que não controlamos diretamente?
- Sabemos quais sistemas não podem receber patches automáticos? Temos um plano manual de correção para eles?
- Estamos pelo menos aplicando patches de acordo com a lista da CISA KEV em todos os sistemas com acesso à internet?
- Existe de fato um controle de segurança entre modificações de código e produção? E uma fiscalização equivalente de softwares externos no nosso ambiente?
- Temos manuais pré-autorizados para isolar ou desligar um sistema comprometido sem depender de horas de aprovações?
- Nossos ativos mais essenciais são explicitamente monitorados e atualizados, não só os sistemas relevantes na teoria, mas os poucos que realmente importam?
- A liderança executiva tem uma ideia clara de urgência? No fim das contas, se tudo é crise, nada é.
- Qual é a nossa política atual de consumerização de TI? Além disso, temos visibilidade dos dispositivos não gerenciados que acessam o nosso ambiente?
- Nossa equipe já começou a usar IA em alguma função de segurança ou ainda trabalhamos totalmente no ritmo humano?
Não é incomum descobrir que a resposta de várias dessas perguntas é incerta ou desconfortável, mas resolver isso tem que ser prioridade. Essas são exatamente as brechas que os ataques acelerados com IA procuram.
O que PMEs precisam priorizar com recursos limitados
A lista completa de ações recomendadas pela Cloud Security Alliance é bem ampla. Para PMEs que operam com equipes enxutas e orçamentos apertados, a resposta sincera é: não dá para fazer tudo ao mesmo tempo. O que você pode fazer é começar pelas ações que trazem maior proteção com menos complexidade — e avançar a partir daí.
Como diz Attila Torok, vice-presidente de segurança da GoTo: "Tudo o que conseguirmos fazer já é melhor, porque a alternativa seria lidar com várias vulnerabilidades novas toda semana. Qualquer avanço que melhore a proteção, a contenção e a resposta já é um acerto."
A aplicação de patches nunca foi tão importante
A aplicação de patches sempre foi indispensável. Hoje, é ainda mais. Com modelos do porte do Mythos, que são capazes de reverter um patch recém-lançado para criar uma exploração funcional, o tempo entre a publicação do patch e a exploração ativa caiu de semanas para horas. Para equipes com poucos recursos incapazes de aplicar patches de forma simultânea, a prioridade precisa seguir esta ordem:
- Primeiro, os sistemas operacionais
- Depois, os navegadores
- Por último, os aplicativos corporativos essenciais
- No mínimo do mínimo: sempre aplique patches na lista de vulnerabilidades conhecidas exploráveis (KEV) da CISA, principalmente em sistemas conectados à Internet
Uma realidade que merece atenção especial em ambientes de médio porte é o problema dos patches em sistemas antigos. Você pode usar uma mistura de infraestrutura moderna e antiga — sistemas operacionais antigos, softwares sem suporte, aplicativos personalizados criados anos atrás sem foco em aplicação automatizada de patches. Esses sistemas exigem processos de atualização manuais e passo a passo, o que acaba fazendo com que todos fiquem desatualizados. Em um ambiente de ameaças turbinado pelo Mythos, estar "quase sempre atrasado" nos sistemas antigos é um convite aberto para ataques. Você precisa de um plano já documentado de correção manual para esses sistemas — e não deixar para pensar nisso quando uma invasão de dia zero acontecer.
Contenção
Como a expectativa é de um aumento drástico do volume de explorações de dia zero, para algumas situações, não existirão patches. A contenção é o que tapa esse buraco. Essa abordagem significa poder isolar um terminal comprometido ou desativar rapidamente um serviço vulnerável sem passar por horas de processos de aprovação. Manuais pré-aprovados não são um luxo exclusivo das grandes empresas. Eles são uma necessidade prática para a sua empresa caso você queira responder na velocidade que essas ameaças exigem.
Arquitetura robusta
As PMEs precisam entender com clareza quais sistemas devem se comunicar entre si. Separe o seu sistema financeiro e outros dados confidenciais de clientes das redes gerais usadas pelos agentes. Mantenha seus servidores e aplicativos expostos à Internet isolados das estações de trabalho internas.
O princípio é simples: quando ocorre um ataque de dia zero, a segmentação define se o impacto será em apenas um sistema ou em toda a rede. Cada barreira gerada obriga um invasor a se esforçar mais, levar mais tempo e executar atividades mais fáceis de detectar. Para uma PME que não consegue evitar todas as invasões, esse obstáculo é justamente o que dá o tempo necessário para preparar respostas.
Proteção de identidade
Quando ocorre um ataque de dia zero, é preciso reduzir o impacto inutilizando as identidades comprometidas em questão de minutos em vez de horas. Credenciais de curta duração com acesso de privilégio mínimo e rotações rápidas de chave são essenciais para reduzir drasticamente as ações que um invasor pode executar após violar uma identidade.
Adotar IA para combater IA
As equipes de segurança não conseguem enfrentar ameaças que operam em velocidade de máquina só com respostas no ritmo humano. Sua equipe pode usar os mesmos recursos de IA que os invasores usam para se proteger. Análises de código, triagem de alertas, elaboração de respostas a incidentes e aceleração da priorização de patches são exemplos práticos de como a IA pode ajudar. Para equipes de PMEs como a sua, a barreira para começar é menor do que você imagina, e é fundamental dar à equipe as ferramentas ideais para proteger seu ambiente.
Reavaliação das estratégias de BYOD e o risco dos terminais não gerenciados
Para organizações de médio porte e PMEs, a exposição do modelo BYOD costuma ser ignorada por estar fora do seu alcance centralizado. O notebook pessoal de um agente com sistema operacional desatualizado ou um prestador de serviços que acessa sistemas da empresa usando um dispositivo não gerenciado podem não aparecer no seu catálogo de gerenciamento de patches. Não há gatilhos para gerar alertas de vulnerabilidade, e esses dispositivos não estão dentro da sua estrutura de contenção. Eles existem totalmente fora do seu plano de controle, mas estão conectados diretamente ao seu ambiente.
O custo humano: esgotamento e preparação das equipes
O esgotamento das equipes de TI não é novidade, além de ser um tema relevante debatido pela LogMeIn há algum tempo. As equipes ficam presas em uma triagem contínua, sem tempo para aprender novas tecnologias ou explorar melhor o uso da IA nos processos. Parte de um cenário de complexidade de TI, onde as equipes de TI são cada vez mais cobradas a fazer mais com menos enquanto enfrentam a pressão de modernizar operações e escalar o uso de IA de forma responsável.
O esgotamento e a rotatividade em funções de segurança são riscos operacionais, e o conhecimento necessário para promover qualquer transição leva anos para ser construída, o que impede uma substituição de curto prazo. Como os profissionais de segurança cibernética já trabalham, em média, 10,8 horas extras por semana, é fundamental ter uma liderança clara na adoção de práticas que ajudem a aliviar a pressão sobre seus colaboradores.
Seguir esse novo caminho exige readequação de prioridades, automação e reposicionamento da cultura para usar a IA como acelerador das iniciativas de segurança. Cada membro da equipe deve ser um construtor de soluções em IA, aproveitando seus recursos. As empresas que sairão fortalecidas deste momento serão as que começarem a se preparar agora.
Esperar o amadurecimento das ferramentas pode atrasar sua organização em dois anos...
Como a LogMeIn ajuda as empresas a se preparar para o Mythos
Para PMEs como a sua, que talvez não contem com os mesmos recursos e equipes de segurança dedicadas das grandes empresas, o desafio de se preparar para o Mythos pode parecer impossível. Escolher um parceiro de tecnologia como a LogMeIn pode reduzir esse peso e ajudar sua empresa a manter seus sistemas mais protegidos e superar o que a pesquisadora de segurança Wendy Nather chama de “linha da pobreza cibernética”.
A LogMeIn investe nos recursos mais importantes para equipes de TI menos assistidas e que enfrentam um ambiente de ameaças cada vez mais dinâmico: automação de patches para reduzir a janela entre comunicação e correção de vulnerabilidades, resposta a incidentes mais ágil que não depende de grandes equipes de segurança e gestão de terminais para ampliar a visibilidade sobre dispositivos e sistemas que geralmente passam despercebidos. Com as soluções baseadas na estrutura de segurança de modelo Zero Trust desenvolvidas pela LogMeIn, as PMEs podem implementar controles avançados de segurança na sua empresa com facilidade.
O princípio fundamental que orienta esse trabalho é simples: os defensores precisam agir na mesma velocidade dos agressores. Os recursos de IA da LogMeIn foram desenvolvidos com base em dois fundamentos: insights gerados por IA (“o cérebro”) para tomar decisões mais inteligentes e resolução inteligente de problemas (“a força”) para realizar ações mais rápidas e eficazes. O objetivo é fazer com que as organizações que mais precisam desses recursos não sejam as últimas a ter acesso a elas.
O Mythos é só o começo...
A tempestade de vulnerabilidades com IA é só o começo de um novo cenário operacional que vai exigir adaptação constante. As empresas que vão superar essa fase não serão as que evitarem todos os ataques de dia zero, mas aquelas que conseguirem minimizar os impactos deles, aquelas que desenvolverem os processos, as ferramentas e as culturas descritas neste artigo.
O básico ainda funciona. Aplicação de patches, MFA, segmentação de rede e acesso com privilégio mínimo ainda são métodos fundamentais de prevenção. O Mythos só aumentou o custo da negligência dessas práticas por explorar de forma rápida e econômica as falhas básicas.
O Mythos é o primeiro modelo dessa nova fronteira, e tem mais novidades vindo no horizonte. Prepare sua resposta hoje.
