A Payward, empresa-mãe da exchange de criptomoedas Kraken, aderiu ao Projeto Glasswing da Anthropic em 17 de agosto e obteve acesso restrito ao Claude Mythos 5 para trabalhos de cibersegurança defensiva.
A empresa planeia usar o modelo de inteligência artificial para verificar os seus ambientes de software em busca de vulnerabilidades nas próximas semanas. Os resultados entrarão no processo de revisão de segurança existente da Payward, em vez de produzir automaticamente alterações de software.
A Payward também afirmou que pretende divulgar vulnerabilidades validadas que afetam projetos de código aberto de terceiros aos seus mantenedores. A empresa não identificou os seus primeiros alvos de verificação, não publicou um cronograma de implementação nem divulgou o custo do seu acesso ao Mythos 5.
A Payward disse que o Claude Mythos 5 examinará todos os ambientes da empresa em busca de fraquezas de software. A sua infraestrutura suporta serviços de negociação, custódia e liquidação de ativos digitais que permanecem disponíveis continuamente.
O anúncio não especifica se o Mythos 5 terá acesso a sistemas de produção, cópias isoladas de código-fonte ou ambientes de teste controlados. A Payward também não descreveu como a sua equipa de segurança validará os resultados antes de aprovar as correções.
Falsos positivos continuam a ser uma preocupação prática quando sistemas de inteligência artificial revisam software complexo. Um modelo pode identificar código inalcançável, duplicar um relatório existente ou interpretar mal como um componente opera em produção. A revisão humana é, portanto, necessária antes que as equipas classifiquem um problema como vulnerabilidade.
A Fundação Ethereum chegou a uma conclusão semelhante ao testar agentes de segurança de IA. Conforme reportado pela crypto.news, os seus pesquisadores descobriram que os relatórios de vulnerabilidade gerados por IA ainda exigiam validação humana independente, particularmente quando os agentes examinavam código de protocolo complexo.
O co-CEO da Payward, Arjun Sethi, disse que a IA poderia mudar o desequilíbrio entre atacantes e defensores, lendo código em maior escala.
“Um modelo pode ler cada linha de código da forma como um atacante faria, em escala de máquina, para que encontremos a falha antes que alguém possa construir o exploit”, disse Sethi.
A declaração descreve a vantagem defensiva pretendida pela Payward. A empresa ainda não publicou resultados que mostrem quantas falhas válidas o Mythos 5 encontrou nos seus sistemas.
A Anthropic lançou o Projeto Glasswing em abril de 2026 para dar acesso antecipado aos seus modelos de cibersegurança mais robustos a fornecedores de infraestrutura e mantenedores de software selecionados.
Os participantes iniciais incluíram Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks e a Linux Foundation. A Anthropic expandiu mais tarde a iniciativa para aproximadamente 150 organizações em mais de 15 países.
A empresa afirma que as organizações participantes devem cumprir os requisitos de segurança antes de receberem acesso. O Mythos 5 não está geralmente disponível porque as mesmas capacidades usadas para identificar vulnerabilidades também podem ajudar a produzir exploits funcionais.
Conforme relatado anteriormente, a Anthropic restaurou o acesso ao Mythos apenas a organizações americanas verificadas depois de o governo dos EUA ter levantado as restrições temporárias de exportação. O modelo protegido Claude Fable 5 voltou a ter maior disponibilidade.
A Payward disse que o seu acesso seguiu a decisão dos EUA que permite ao Mythos 5 chegar a organizações que operam e defendem infraestruturas críticas. A página oficial do modelo da Anthropic confirma que o acesso foi restaurado para um conjunto de organizações dos EUA após aprovação governamental.
Nem a Anthropic nem o governo dos EUA designaram publicamente todas as plataformas de ativos digitais como infraestrutura crítica. A declaração da Payward de que tais plataformas “pertencem a essa lista” representa a posição da empresa, e não uma classificação governamental formal.
A Anthropic descreve o Claude Mythos 5 como o seu modelo mais capaz para cibersegurança e pesquisa biológica. O modelo pode inspecionar código, identificar fraquezas, sugerir patches e auxiliar investigadores aprovados no teste de caminhos de exploit.
O Mythos Preview, anterior do Projeto Glasswing, terá encontrado mais de 10.000 falhas classificadas como de gravidade alta ou crítica em software amplamente utilizado. O painel de divulgação coordenada da Anthropic mostrou 1.596 vulnerabilidades reportadas em 281 projetos de código aberto até 22 de maio.
Esses números são medições da Anthropic e não significam que cada descoberta inicial do modelo fosse válida. O seu painel registou uma taxa de verdadeiros positivos de 90,8% entre 1.900 candidatos revistos por empresas de segurança externas.
A Anthropic disse que a triagem humana independente continua a ser a fase limitante. Apenas 97 das descobertas listadas tinham sido corrigidas upstream no momento da atualização do painel, enquanto 88 tinham recebido um identificador de aviso público.
O modelo também pode criar componentes de exploit e combiná-los em cadeias de ataque. A Anthropic citou esta capacidade de uso duplo ao explicar porque o Mythos 5 permanece limitado a parceiros aprovados.
Em cobertura relacionada, pesquisadores descobriram que modelos da classe Mythos poderiam transformar falhas de software em cadeias de exploit funcionais. Um acesso mais amplo daria, portanto, aos atacantes algumas das mesmas capacidades disponíveis aos defensores.
A Payward disse que as vulnerabilidades descobertas em código partilhado de terceiros serão enviadas aos mantenedores de projetos relevantes. Apresentou esse processo como uma forma de proteger outras organizações que utilizam o mesmo software.
A empresa não publicou uma política de divulgação coordenada para a iniciativa. Detalhes importantes não respondidos incluem quanto tempo os mantenedores terão para corrigir falhas, quais descobertas a Payward poderá divulgar publicamente e como lidará com projetos que não respondem.
A divulgação responsável normalmente exige que os pesquisadores verifiquem uma vulnerabilidade, contactem o mantenedor de forma privada e permitam tempo para remediação antes de divulgar informações técnicas. A publicação prematura pode expor os utilizadores antes que um patch esteja disponível.
A Payward enfrentou anteriormente disputas sobre pesquisa de segurança. Conforme relatado pela crypto.news, a Kraken corrigiu uma falha de depósito que os pesquisadores usaram para retirar quase US$ 3 milhões. A exchange recuperou os fundos mais tarde, após um desacordo público com a CertiK.
Esse episódio não estava relacionado ao Projeto Glasswing, mas mostra por que regras claras de teste e divulgação são importantes. A varredura por IA pode aumentar o número de descobertas relatadas, criando trabalho adicional para equipas de segurança e mantenedores.
A Payward planeia começar a verificar os seus ambientes dentro de semanas. As próximas atualizações verificáveis incluiriam vulnerabilidades confirmadas, patches concluídos ou divulgações públicas coordenadas com projetos de código aberto afetados.
Nenhuma meta de desempenho foi anunciada. A Payward não disse com que frequência o Mythos 5 verificará os seus sistemas ou se o modelo revisará código novo antes da implantação.
A Anthropic exige que os clientes do Mythos 5 aceitem uma retenção de dados de trinta dias para monitorização de segurança. A Payward não explicou que código ou informações do sistema serão submetidos, como os dados sensíveis serão separados ou se as informações do cliente ficam fora do processo de verificação.
Por enquanto, o desenvolvimento confirmado é a admissão da Payward ao Projeto Glasswing e o uso planeado do Claude Mythos 5. Se o modelo melhorará a segurança da empresa dependerá da qualidade das suas descobertas, da verificação humana e da velocidade dos patches subsequentes.
ETH
USDC