Por décadas, os atacantes tiveram a vantagem na segurança cibernética. A inteligência artificial pode estar prestes a mudar isso.

Em uma postagem de blog publicada na terça-feira, a Mozilla, desenvolvedora do navegador Firefox, disse que uma versão inicial da IA Claude Mythos da Anthropic — que atraiu atenção nas últimas semanas por sua suposta proeza em segurança cibernética — ajudou a identificar 271 vulnerabilidades no navegador durante testes internos. Esses bugs foram corrigidos esta semana.

Os resultados destacam como sistemas avançados de IA podem analisar grandes bases de código e localizar pontos fracos que antes exigiam uma extensa revisão manual por pesquisadores de segurança cibernética humanos.

“À medida que essas capacidades chegam às mãos de mais defensores, muitas outras equipes estão agora experimentando a mesma vertigem que nós sentimos quando as descobertas vieram à tona”, escreveu a Mozilla. “Para um alvo endurecido, apenas um desses bugs teria sido um alerta vermelho em 2025, e tantos de uma vez nos fazem parar para nos perguntar se é possível acompanhar.”

A Mozilla havia testado anteriormente outro modelo da Anthropic que identificou 22 bugs sensíveis à segurança em uma versão anterior do Firefox. Apesar desses sucessos, a Mozilla reconheceu que a indústria de segurança cibernética há muito tempo trata a eliminação completa de exploits de software como um “objetivo irrealista”.

“Até agora, a indústria tem lutado contra a segurança em um empate”, escreveu a empresa. “Fornecedores de software crítico exposto à internet como o Firefox levam a segurança extremamente a sério e têm equipes de pessoas que se levantam todas as manhãs pensando em como manter os usuários seguros.”

A Mozilla disse que o novo sistema de IA pode analisar o código-fonte e identificar vulnerabilidades de maneiras que antes dependiam de expertise humana escassa. No entanto, a Mozilla disse que a empresa ficou animada ao ver que nenhum bug foi encontrado que não pudesse ter sido descoberto por "um pesquisador humano de elite".

"Alguns comentaristas preveem que futuros modelos de IA desenterrarão formas inteiramente novas de vulnerabilidades que desafiam nossa compreensão atual, mas não achamos que seja o caso", disseram. "Software como o Firefox é projetado de forma modular para que os humanos possam raciocinar sobre sua correção. É complexo, mas não arbitrariamente complexo."

Os resultados, no entanto, sugerem que as ferramentas de IA podem permitir que os desenvolvedores descubram um grande número de vulnerabilidades antes que os atacantes as explorem — embora, por outro lado, nas mãos erradas, isso poderia causar grandes problemas para empresas de software e usuários.

Lançado em março, Mythos é o modelo mais avançado da Anthropic para tarefas de raciocínio, codificação e segurança cibernética. Materiais internos da empresa descrevem o sistema como parte de um novo nível de modelo além da série Opus anterior da empresa.

Testes realizados antes do lançamento do modelo mostraram que ele poderia identificar milhares de vulnerabilidades anteriormente desconhecidas em sistemas operacionais e navegadores web importantes.

A Anthropic limitou o acesso ao sistema através de um programa restrito chamado Project Glasswing, que permite que empresas de tecnologia selecionadas — incluindo Amazon, Apple e Microsoft — usem o modelo para escanear software em busca de pontos fracos. Isso reflete um esforço crescente na indústria de segurança cibernética para usar sistemas de IA para identificar e corrigir vulnerabilidades antes que os atacantes possam explorá-las.

No entanto, a mesma tecnologia também poderia possibilitar novas formas de ciberataques. Pesquisadores de segurança dizem que sistemas de IA capazes de analisar código em escala poderiam automatizar a descoberta de vulnerabilidades exploráveis em softwares amplamente utilizados.

Após o lançamento do Mythos, testes realizados pelo AI Security Institute do Reino Unido descobriram que a IA poderia executar autonomamente operações cibernéticas complexas, incluindo a conclusão de uma simulação de ataque de rede corporativa em várias etapas sem assistência humana. Essas capacidades atraíram a atenção de governos e agências de inteligência.

Apesar de um apelo da administração do Presidente Donald Trump para parar de usar a tecnologia da Anthropic devido a um conflito sobre seu uso em questões de guerra e vigilância, na segunda-feira, a Agência de Segurança Nacional revelou estar executando o Claude Mythos Preview em redes classificadas, de acordo com fontes familiarizadas com a implantação. O uso do Mythos sublinha o crescente interesse entre as agências de segurança dos EUA na capacidade do modelo de identificar vulnerabilidades críticas de software.

O desempenho do modelo também expôs limites nos sistemas de avaliação de IA existentes. No início deste mês, a Anthropic reconheceu que vários benchmarks de segurança cibernética já não são suficientes para medir as capacidades de seus modelos mais recentes.

A Mozilla disse que os resultados apontam para uma potencial mudança na segurança cibernética, onde os defensores podem começar a diminuir a vantagem de longa data que os atacantes têm mantido.

“Estamos extremamente orgulhosos de como nossa equipe se levantou para enfrentar este desafio, e outros também o farão”, escreveu a Mozilla. “Nosso trabalho não está terminado, mas viramos a página e podemos vislumbrar um futuro muito melhor do que apenas manter o ritmo. Os defensores finalmente têm a chance de vencer, decisivamente.”

A Mozilla não respondeu imediatamente a um pedido de comentário da Decrypt.