Guillem Alsina Gonzàlez
O software do qual dependem os sistemas bancários, os registos médicos, as redes logísticas ou outras infraestruturas essenciais ao funcionamento da sociedade sempre coexistiu com falhas de programação que, se exploradas, podem causar graves interrupções e perdas económicas de grande magnitude. Até recentemente, localizar e explorar estas falhas exigia uma elevada especialização técnica ao alcance de muito poucos analistas, mas os recentes avanços na inteligência artificial reduziram o esforço necessário para realizar intrusões informáticas, facilitando a rápida identificação de pontos fracos nos sistemas informáticos.
É neste contexto de evolução tecnológica que a Anthropic testou os limites da proteção informática atual através do seu modelo Claude Mythos Preview, uma versão de avaliação interna que ainda não está disponível para o público em geral e que, nas últimas semanas, funcionou de forma autónoma, descobrindo milhares de vulnerabilidades críticas até então desconhecidas nos navegadores e sistemas operativos mais utilizados.
Entre as suas descobertas documentadas contam-se uma falha com quase três décadas de existência no sistema OpenBSD que permitia o bloqueio remoto de equipamentos, um erro de longa data na biblioteca de processamento de vídeo FFmpeg que tinha passado por milhões de testes anteriores sem ser detetado, e a localização de múltiplas falhas no núcleo do Linux que podiam ser combinadas para assumir o controlo total de um servidor físico ou virtual. Todas estas falhas já foram comunicadas aos responsáveis e corrigidas.
Com a constatação empírica de que os algoritmos atingiram um nível técnico capaz de igualar ou superar os especialistas humanos na deteção de falhas no código-fonte, surge a preocupação na indústria de que estas capacidades se espalhem de forma descontrolada e sejam utilizadas com más intenções.
Para antecipar os riscos decorrentes desta tecnologia e dotar os defensores de uma vantagem estratégica, um conjunto de grandes empresas tecnológicas lançou o Projeto Glasswing. Sob a égide desta coligação empresarial, encontramos nomes como AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, a Fundação Linux, Microsoft, NVIDIA e Palo Alto Networks, além da própria Antrophic.
A iniciativa dota as entidades envolvidas de ferramentas algorítmicas avançadas para analisar infraestruturas críticas e fortalecer tanto os sistemas corporativos como os desenvolvimentos de código aberto contra futuros ataques. As empresas parceiras concordam em salientar que os métodos tradicionais de revisão de código deixaram de ser viáveis por si só, e que a integração de redes neurais nas tarefas de segurança é um passo indispensável para mitigar os riscos operacionais.
Os testes preliminares realizados por estes intervenientes demonstraram que é possível identificar problemas informáticos muito complexos, que passavam despercebidos às gerações anteriores de software defensivo, o que obriga as empresas a modernizar as suas arquiteturas face a uma previsível onda de incidentes cada vez mais rápidos e massivos.
Para apoiar a adoção destas medidas de proteção, foi anunciado um compromisso de cem milhões de dólares em créditos de utilização computacional do modelo para as empresas participantes e para mais de quarenta organizações externas dedicadas à manutenção de software crítico. Além disso, foram feitas contribuições financeiras no valor de quatro milhões de dólares destinadas a entidades focadas na proteção do código aberto, com o objetivo de que os recursos defensivos cheguem a todos os elos do ciclo de desenvolvimento e não dependam exclusivamente daqueles com grandes orçamentos.
O acesso inicial a esta ferramenta analítica permitirá às organizações concentrarem-se na deteção local de vulnerabilidades, nos testes de resistência dos ecossistemas digitais e na blindagem dos equipamentos corporativos finais. Dado que a intenção atual não passa por lançar este modelo de linguagem no mercado de forma comercial, o foco mantém-se estritamente na investigação técnica e na prevenção. O conhecimento extraído desta fase de colaboração será utilizado para desenvolver salvaguardas mais eficazes e para elaborar novas metodologias de proteção adaptadas ao atual cenário de ameaças.
Dentro de três meses será publicado um relatório documentado com as lições aprendidas e os problemas resolvidos que possam ser divulgados de forma segura sem comprometer infraestruturas reais. Da mesma forma, espera-se colaborar com diferentes atores da indústria para elaborar diretrizes práticas que orientem a segurança do software ao longo dos próximos anos.
Este futuro compêndio de normas de boas práticas abrangerá desde os protocolos para a divulgação correta das vulnerabilidades e a automatização das correções de segurança, até à integração de designs preventivos ao longo de todo o processo de programação e à criação de requisitos comuns para setores económicos fortemente regulados.
