Anthropic lança Missão Cibernética para Infraestrutura Crítica, Código Aberto

Anthropic anunciou a Anthropic Cyber Mission em 8 de outubro de 2026, descrevendo‑a como um esforço de longo prazo para ajudar a proteger os sistemas dos quais o público depende. O esforço começa com dois programas: um Programa de Defesa de Infraestrutura Crítica apoiado por 11 parceiros fundadores, e o OSS Scanner, um serviço gratuito de adesão opcional que realiza varreduras de segurança regulares de software de código aberto com os modelos mais avançados da empresa.

Anthropic afirmou que modelos de fronteira podem ser usados indevidamente para explorar vulnerabilidades e conduzir operações cibernéticas, e que adversários patrocinados por Estados passaram anos estabelecendo bases em diversos setores para poderem interromper esses sistemas. Defensores da infraestrutura crítica e da comunidade de código aberto, disse a empresa, têm décadas de experiência em segurança, mas enfrentam graves escassez de recursos, e a Missão Cibernética irá disponibilizar talento de engenharia, ferramentas e financiamento para apoiá‑los.

Programa de Defesa de Infraestrutura Crítica

O Programa de Defesa de Infraestrutura Crítica fornece modelos Claude de fronteira, engenheiros in loco e a pesquisa de ameaças da Anthropic aos provedores confiáveis que defendem a tecnologia operacional, começando pelos sistemas que sustentam redes elétricas, sistemas de água e redes de transporte, juntamente com sistemas governamentais. Seus parceiros fundadores são Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC e Rockwell Automation.

Anthropic descreveu o grupo como abrangendo empresas de consultoria e de tecnologia avançada que conduzem programas de segurança, as empresas de segurança que protegem redes empresariais e industriais, e os fabricantes que constroem e corrigem o próprio equipamento. Vários parceiros já estão trabalhando com Claude para corrigir vulnerabilidades e ajudar os clientes a fazer o mesmo, afirmou a empresa, e seu primeiro passo é colaborar com um pequeno conjunto de provedores para aprender quais estratégias são mais eficazes e práticas. Empresas que desenvolvem produtos ou serviços de segurança para infraestrutura crítica podem registrar interesse à medida que o programa se expande.

Em declarações publicadas junto ao anúncio, a CrowdStrike disse que “infraestrutura crítica enfrentando ameaças em velocidade de máquina requer defesa em velocidade de máquina”, e a Palo Alto Networks afirmou que está combinando sua inteligência de ameaças Unit 42 e expertise operacional com os modelos de fronteira da Anthropic para ajudar os operadores a defender serviços essenciais. A Booz Allen chamou a tecnologia operacional de próxima fronteira para ataques autônomos habilitados por IA.

Tecnologia Operacional e Sistemas Governamentais

Redes elétricas, serviços de água, fábricas e redes de transporte funcionam com controladores, softwares de controle e redes industriais construídos para durar décadas, e frequentemente não podem ser desligados para receber patches, de modo que vulnerabilidades conhecidas podem permanecer sem correção por anos. A Anthropic descreveu esse trabalho especializado, observando que o equipamento é proprietário, que mudanças acarretam riscos, e que um único erro pode derrubar uma planta, deixando os operadores dependentes de um pequeno conjunto de provedores confiáveis. A empresa afirmou que acredita que modelos de fronteira podem ajudar a encontrar e reparar fraquezas antes que sejam usados para cortar energia ou tornar a água insegura, ao mesmo tempo reconhecendo que a infraestrutura crítica é difícil de defender em muitos aspectos que a IA não pode resolver.

O programa amplia o trabalho da Anthropic no setor governamental. Em junho, a empresa lançou um programa de defesa cibernética para governos estaduais, locais, tribais e territoriais; a Anthropic afirmou que desde então ofereceu modelos Claude de fronteira e suporte técnico a mais da metade de todos os estados dos EUA e a alguns dos maiores operadores públicos de infraestrutura crítica do país, acelerando a varredura e correção de código, resposta a incidentes, red teaming e outros fluxos de trabalho de segurança.

OSS Scanner para Projetos de Código Aberto

O segundo programa, OSS Scanner, é um serviço de adesão opcional inspirado no OSS-Fuzz do Google que oferece a projetos de código aberto inscritos varreduras periódicas dos modelos mais capazes da Anthropic, incluindo Claude Mythos, sem custo. De acordo com uma Frontier Red Team publicação publicada no mesmo dia, cada relatório contém um reproduzidor autônomo ou prova de conceito, uma explicação com uma bissecção quando possível e um patch candidato quando disponível. Os relatórios são totalmente gerados por modelo e enviados sem revisão humana, o que a Anthropic disse que permite entrega mais rápida, mas significa que alguns conterão imprecisões como uma classificação de gravidade incorreta; a empresa espera uma taxa de verdadeiros positivos acima de 90%.

Para validar uma versão inicial, a Anthropic pediu aos especialistas em testes de penetração que revisam suas descobertas de divulgação coordenada de vulnerabilidades que verificassem 97 achados críticos e de alta gravidade do scanner em 48 projetos. A equipe relatou que 85 (88%) atenderam ao critério de seu processo de divulgação, que 11 dos restantes eram reais, mas duplicavam problemas conhecidos ou outras descobertas, e que um foi um falso positivo. Nos últimos seis meses, a empresa afirmou que seus modelos sinalizaram mais de 29.000 vulnerabilidades candidatas, aproximadamente 6.000 das quais foram revisadas manualmente e triadas, enquanto quase 5.000 relatórios não verificados foram enviados diretamente aos mantenedores que pediram para receber tudo.

Os mantenedores citados na postagem relataram resultados fortes. Todd Ouska, da wolfSSL, disse que “dos 74 relatórios que recebemos, todos, exceto dois, eram válidos, e cinco se tornaram CVEs”. Noah Misch, da PostgreSQL, afirmou que uma fração incomumente alta das descobertas do scanner revelou defeitos no PostgreSQL e que vários relatórios vieram com correções que sua equipe poderia usar quase como estão, enquanto Anton Arapov, da OpenSSL Corporation, declarou que os relatórios recebidos por sua organização, incluindo a saída bruta do modelo, eram tão bons quanto ou melhores do que os que obtém de pessoas. Eddie Kohler, da HotCRP, descreveu os relatórios de bugs como completos e claros.

Os mantenedores principais dos projetos elegíveis se inscrevem enviando um pull request para o repositório GitHub oss-scanner da Anthropic, com elegibilidade baseada em critérios semelhantes aos do OSS-Fuzz, incluindo impacto crítico na infraestrutura e na segurança dos usuários, decididos caso a caso. A Anthropic afirmou que projetos sem capacidade de triagem de descobertas continuarão a receber divulgações verificadas por humanos sob sua política coordenada de divulgação de vulnerabilidades, e diferenciou o OSS Scanner do Claude Security, seu produto de varredura e correção de código empresarial de acesso geral. Os mantenedores também podem solicitar assinaturas gratuitas do Claude Max por meio do Claude for Open Source e ao Cyber Verification Program para acesso ampliado.

Projeto Glasswing e Próximos Passos

A Anthropic disse que os novos esforços se baseiam nas lições do Project Glasswing, anunciado em 7 de abril de 2026 com a Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, a Linux Foundation, Microsoft, NVIDIA e Palo Alto Networks. Sob essa iniciativa, a Anthropic comprometeu até US$ 100 milhões em créditos de uso do Claude Mythos Preview e US$ 4 milhões em doações diretas para organizações de segurança de código aberto, e afirmou ter doado US$ 2,5 milhões para a Alpha-Omega e OpenSSF por meio da Linux Foundation e US$ 1,5 milhão para a Apache Software Foundation. Em 6 de outubro de 2026, a Anthropic lançou um Programa de Verificação Cibernética ampliado com três níveis de acesso, e o anúncio da Cyber Mission informou que o Project Glasswing foi incorporado a esse programa, com os membros atuais do Glasswing migrando para o nível de Acesso Especializado.

A Anthropic afirmou que também financiou a Python Software Foundation e apoia a Akrites e a Gold Eagle, que coletam e coordenam relatórios de vulnerabilidades de diversas fontes para que os mantenedores não sejam sobrecarregados. O Defender Advantage Fund, lançado em agosto, apoia programas piloto nessas áreas e mantém o OSS Scanner gratuito.

A previsão da Anthropic é que, dentro de dois anos, a IA favorecerá a defesa, facilitando a captura de bugs antes que sejam lançados e a defesa ativa de sistemas com modelos, embora a empresa tenha dito que isso pode não se concretizar no curto prazo. Ela afirmou que, no Glasswing, frequentemente observava meses entre a descoberta e a correção de uma vulnerabilidade, e que, com tecnologia operacional, uma correção pode, em casos raros, levar décadas para ser aplicada com segurança. Nos próximos meses, a Anthropic disse que expandirá o Programa de Defesa de Infraestrutura Crítica para mais parceiros e setores, compartilhará o que aprender, inclusive o que não funcionou, ampliará seu trabalho de código aberto e cadeia de suprimentos, e colaborará com outros desenvolvedores de IA, empresas de segurança e governos que conduzem esforços próprios.