Anthropic usa IA para detectar 26 mil vulnerabilidades: apenas 421 corrigidas

A corrida pela automação da cibersegurança ganhou um novo capítulo quando a Anthropic, startup americana conhecida pelos avançados modelos de linguagem Claude, anunciou os resultados preliminares de seu “Project Glasswing”. Em menos de um ano de operação, a iniciativa detectou impressionantes 26.000 vulnerabilidades em softwares de código aberto e proprietários, mas apenas 421 delas foram efetivamente corrigidas pelos desenvolvedores. Esse descompasso entre descoberta e remediação coloca em foco questões técnicas, organizacionais e estratégicas que vão além da pura capacidade de detectar falhas, apontando para um futuro onde a inteligência artificial (IA) será indispensável, mas não suficiente, para garantir a segurança digital.

O projeto Glasswing foi concebido como uma prova de conceito para validar se grandes modelos de linguagem (LLMs) poderiam atuar como “caçadores de bugs” autônomos. Utilizando a versão Claude Mythos Preview – precursor da série Claude 2 – a Anthropic treinou o modelo para analisar códigos‑fonte, interpretar relatórios de segurança e gerar descrições de vulnerabilidades que obedecem ao padrão CVE (Common Vulnerabilities and Exposures). A estratégia segue a lógica de “detect‑then‑report”: a IA identifica a falha, produz um relatório técnico e o encaminha ao mantenedor do software, que por sua vez decide se e como corrige o problema.

Do ponto de vista do mercado de segurança da informação, o número de vulnerabilidades descobertas coloca o Glasswing em pé de igualdade com ferramentas comerciais de varredura estática e dinâmica, como Snyk, Veracode ou GitHub Advanced Security. Contudo, a taxa de correção – apenas 1,6% das vulnerabilidades encontradas – revela um gargalo que tem implicações econômicas e operacionais. Empresas que recebem relatórios de IA podem enfrentar sobrecarga de tickets, falta de recursos internos ou simplesmente não reconhecer a criticidade da falha indicada. A Anthropic reconhece que o processo de remediação exige uma camada humana de triagem e priorização que ainda não foi totalmente automatizada.

Ao analisar as causas dessa baixa taxa de correção, especialistas apontam três fatores principais. Primeiro, a qualidade dos relatórios gerados por LLMs ainda varia; embora o Claude produza descrições detalhadas, ele pode gerar falsos positivos ou falhas de interpretação que confundem desenvolvedores. Segundo, a comunicação entre a IA e a comunidade de desenvolvedores ainda carece de padronização: enquanto grandes projetos open‑source possuem processos estabelecidos de pull‑request e revisão, softwares proprietários recebem relatórios de maneira fragmentada, muitas vezes por e‑mail ou plataformas internas, dificultando o rastreamento. Terceiro, a cultura organizacional ainda não abraçou plenamente a ideia de “IA como agente de segurança”. Muitas equipes de desenvolvimento enxergam as recomendações da IA como um custo adicional, ao invés de uma oportunidade de mitigação proativa.

Tecnicamente, o Glasswing demonstra como LLMs podem ser afinados para tarefas de análise de código que tradicionalmente exigiam engenheiros de segurança experientes. O modelo Claude foi exposto a milhões de linhas de código, padrões de vulnerabilidade (como injeção SQL, XSS, buffer overflow) e a bases de dados de CVEs, permitindo que ele reconheça até mesmo variantes de falhas que escapam a assinaturas estáticas. Além disso, a capacidade de gerar explicações em linguagem natural reduz a barreira de entendimento para desenvolvedores que não são especialistas em segurança, facilitando a integração da IA no fluxo de DevOps.

Entretanto, a adoção de IA em segurança traz riscos de dependência excessiva. Caso as organizações deleguem integralmente a descoberta de vulnerabilidades a modelos como Claude, podem perder a visão crítica necessária para validar as descobertas. Além disso, há o risco de exploração adversária: pesquisadores mal‑intencionados poderiam treinar LLMs para gerar vulnerabilidades específicas ou até mesmo manipular os relatórios de IA para ocultar falhas críticas. Esses cenários exigem políticas de auditoria robustas e transparência nos algoritmos empregados.

Do ponto de vista econômico, a automação da detecção de vulnerabilidades pode gerar economias de escala significativas. Estudos da Gartner apontam que até 2027 40% dos testes de segurança serão realizados com auxílio de IA, reduzindo custos operacionais em até 30%. No entanto, o baixo índice de correção observado no Glasswing indica que as empresas ainda precisam investir em equipes de resposta a incidentes (IR) e em processos de gerenciamento de vulnerabilidades (VM). No Brasil, onde a escassez de profissionais de cibersegurança já ultrapassa 50% das vagas, a combinação de IA com capacitação humana pode ser a chave para fechar o hiato.

Geopoliticamente, a capacidade de uma empresa norte‑americana de usar IA para mapear vulnerabilidades em softwares globais levanta questões de soberania digital. Governos latino‑americanos, incluindo o Brasil, têm demonstrado preocupação com a exposição de infraestruturas críticas a ferramentas desenvolvidas fora de suas fronteiras. A Lei Geral de Proteção de Dados (LGPD) e a futura Estratégia Nacional de Segurança Cibernética (ENSC) podem exigir que vulnerabilidades detectadas por IA estrangeira sejam notificadas a autoridades locais antes de serem divulgadas publicamente.

No contexto latino‑americano, a iniciativa pode servir como modelo para projetos colaborativos de segurança. Países como México, Colômbia e Chile têm investido em centros de excelência em IA e cibersegurança, buscando adaptar soluções como o Glasswing a realidades de infraestrutura de TI menos madura. A criação de “hubs de vulnerabilidade” regionais, alimentados por LLMs treinados em código local, poderia acelerar a remediação e gerar dados valiosos para políticas públicas.

Para que a promessa do Glasswing se concretize, a Anthropic anunciou planos de aprimorar a interface de entrega de relatórios, incorporando integrações nativas com plataformas como GitHub, GitLab e Azure DevOps. Essa medida visa reduzir o atrito na comunicação e permitir que os desenvolvedores recebam alertas diretamente em seus pipelines de CI/CD, facilitando a priorização automática baseada em risco. Paralelamente, a empresa está investindo em “human‑in‑the‑loop” – processos que combinam a velocidade da IA com a expertise de analistas de segurança para filtrar falsos positivos antes da entrega final.

No Brasil, startups de segurança cibernética já começaram a experimentar LLMs para análise de código, mas enfrentam desafios de linguagem e de disponibilidade de datasets locais. A adaptação de modelos como Claude ao português brasileiro exigirá treinamento adicional com repositórios de código open‑source nacionais e com padrões de vulnerabilidade adotados por órgãos como a Agência Nacional de Segurança Cibernética (ANSC). A colaboração entre universidades, governo e empresas pode gerar um ecossistema capaz de transformar a IA em um recurso de defesa efetivo.

Em síntese, o Projeto Glasswing evidencia duas realidades convergentes: a IA está pronta para escalar a descoberta de vulnerabilidades a níveis antes impossíveis, mas a remediação ainda depende de processos humanos, cultura organizacional e marcos regulatórios. O futuro da segurança da informação provavelmente será híbrido, combinando a rapidez dos LLMs com a expertise de analistas humanos, integrados em fluxos de desenvolvimento automatizados. No cenário brasileiro e latino‑americano, onde a lacuna de talentos persiste, essa combinação pode representar não apenas uma solução tecnológica, mas um caminho para elevar a maturidade de segurança regional.

A Anthropic, ao divulgar números ainda modestos em termos de correções, abre um convite ao mercado: investir não só em IA de detecção, mas também em plataformas de resposta, treinamento de equipes e em políticas que garantam transparência e responsabilidade. Caso esses elementos sejam alinhados, a taxa de correção pode subir drasticamente, transformando o 1,6% atual em um indicador de eficácia robusta. Até lá, o Glasswing servirá como laboratório vivo, demonstrando que a inteligência artificial, embora poderosa, ainda precisa da inteligência humana para fechar o ciclo de segurança.