A Anthropic anunciou na quinta, 8 de outubro, a Cyber Mission, um compromisso de longo prazo com a defesa digital que começa em duas frentes. O OSS Scanner faz varreduras periódicas e gratuitas nos projetos de código aberto que se inscreverem. O Critical Infrastructure Defense Program leva modelos Claude, engenheiros e pesquisa de ameaças a 11 empresas que protegem redes de energia, água e transporte. Na validação do scanner, 96 de 97 achados críticos e altos eram falhas reais.
Em resumo
- OSS Scanner: varredura gratuita, por adesão, feita pelos modelos mais fortes da Anthropic, inclusive o Claude Mythos. O relatório traz reprodução do bug, explicação e sugestão de correção.
- Sem revisão humana: os relatórios vão direto ao mantenedor. A Anthropic espera acerto acima de 90% e limita a própria responsabilidade a US$ 1.000, segundo o The Next Web.
- Infraestrutura crítica: 11 parceiros fundadores, entre eles Accenture, CrowdStrike, Dragos, Hitachi, Palo Alto Networks e Rockwell Automation.
- Escala: em seis meses, os modelos acharam mais de 29 mil vulnerabilidades candidatas. Cerca de 6 mil passaram por revisão de pessoas.
- Leitura: achar falha ficou barato. O gargalo passou a ser verificar e corrigir, e a Anthropic tenta levar esse trabalho para perto de quem mantém o código.
O que a Anthropic lançou?
O OSS Scanner segue o modelo do OSS-Fuzz, do Google. O mantenedor inscreve o projeto com um pull request no repositório anthropics/oss-scanner, no GitHub. A seleção usa o critério do OSS-Fuzz, impacto crítico em infraestrutura e na segurança de usuários, e é feita caso a caso. Cada relatório traz um reprodutor do bug, uma explicação com a data em que a falha entrou no código, quando dá para descobrir, e uma correção candidata. Projetos sem gente para tratar achados brutos continuam recebendo relatórios verificados por pessoas, pelo processo de divulgação coordenada que a Anthropic já usa.
O programa de infraestrutura crítica mira a tecnologia operacional, os controladores e redes de usinas, subestações e sistemas de água. Os 11 parceiros fundadores são Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC e Rockwell Automation. A Anthropic começa com um grupo pequeno e diz que vários parceiros já usam o Claude para corrigir vulnerabilidades. Podem pedir entrada fornecedores de segurança, integradores e fabricantes de equipamentos.
O dinheiro vem do Defender Advantage Fund, criado em agosto, que mantém o scanner gratuito. A Anthropic também financiou a Python Software Foundation, a Apache Software Foundation e, pela Linux Foundation, a Alpha-Omega e a OpenSSF. Mantenedores podem pedir assinatura gratuita do Claude Max.
Os achados do scanner são confiáveis?
O número que circulou, 96 de 97 achados reais, confere com o relatório técnico da Anthropic, mas pede leitura. Testadores de invasão especialistas checaram 97 achados críticos e altos em 48 projetos. Desses, 85, ou 88%, passaram no critério de divulgação coordenada. Dos 12 restantes, 11 eram falhas reais que repetiam problemas conhecidos ou outros achados da própria varredura. Só um era falso positivo. Assim, 96 eram reais e 85 eram novos e prontos para reportar.
Os mantenedores que testaram a versão inicial deram retorno positivo. Todd Ouska, da wolfSSL, disse que dos 74 relatórios recebidos só dois não eram válidos, e cinco viraram CVEs. Daniel Stenberg, do curl, disse que o scanner achou várias falhas que mereciam correção. Anton Arapov, da OpenSSL Corporation, disse que, quando o relatório chega com exploit real, o trabalho do engenheiro fica praticamente pronto. Noah Misch, do PostgreSQL, disse que uma fração alta dos achados revelou defeitos reais.
A Anthropic avisa que os relatórios podem errar a gravidade e que alguns mantenedores acharam a nota inflada ou o modelo de ameaça mal entendido. Os termos do serviço, segundo o The Next Web, dizem que a correção sugerida pode quebrar o código, que o mantenedor precisa revisar cada relatório e que a responsabilidade da Anthropic fica limitada a US$ 1.000.
Como chegamos até aqui?
Em abril, o Project Glasswing deu a organizações selecionadas acesso ao Claude Mythos para varrer código aberto, segundo o SiliconANGLE. Em junho, a Anthropic abriu um programa de ciberdefesa para governos estaduais e locais dos Estados Unidos e diz ter atendido mais da metade dos estados. Em agosto veio o fundo de defesa. Na semana de 6 de outubro, o Glasswing foi incorporado ao Cyber Verification Program ampliado. A própria Anthropic admite que o Glasswing ainda não reduziu o risco o bastante, porque muitas vezes passavam meses entre achar e corrigir uma falha.
A disputa por esse espaço cresceu. O The Next Web lembra que a OpenAI prometeu US$ 1 bilhão em setembro para ciberdefesa de empresas de água e bancos comunitários. O Google liberou o Gemini 4 Argon primeiro para quem defende redes, e a CrowdStrike treina modelos de defesa na nuvem da CoreWeave, como a Marcio.AI mostrou. A CrowdStrike trabalha com a Anthropic e com a OpenAI ao mesmo tempo.
A previsão da Anthropic é que, em dois anos, a IA favoreça a defesa. No curto prazo ela admite o contrário: explorar falha ficou mais barato, e verificar e corrigir ainda depende de pessoas. Em tecnologia operacional, algumas correções podem levar décadas para entrar em produção com segurança.
O que ficou sem resposta?
A Axios, citada pelo SiliconANGLE e pelo The Next Web, apontou duas lacunas. A Anthropic não disse quem paga a computação nem se os parceiros recebem acesso gratuito aos modelos. E não explicou como os parceiros vão testar correções sem parar a operação de concessionárias. Andrew Turner, da Booz Allen, chamou a tecnologia operacional de próxima fronteira dos ataques autônomos com IA.
O que muda para empresas no Brasil?
Os projetos que deram depoimento, como curl, OpenSSL, PostgreSQL e wolfSSL, rodam em bancos, órgãos públicos e empresas brasileiras. Falha corrigida mais cedo nesses projetos chega por atualização a quem usa. Para a equipe de TI, o efeito prático é volume: mais correções de segurança em bibliotecas abertas, em ritmo maior. Quem não tem rotina para aplicar atualização de dependência rápido fica exposto por mais tempo.
Na infraestrutura, a lista de parceiros inclui consultorias e fornecedores com operação no Brasil, como Accenture, Deloitte, PwC, CrowdStrike, Palo Alto Networks, Hitachi e Rockwell Automation. Distribuidoras de energia, empresas de saneamento e indústrias atendidas por eles podem perguntar se terão acesso ao programa e em que condições, já que a Anthropic começou com grupo pequeno e não divulgou preço. Mantenedores brasileiros de projetos com impacto em infraestrutura podem pedir inscrição no scanner.
O que observar nas próximas semanas
A tese da Marcio.AI: em 2027, varredura automática de código aberto por modelos de fronteira vira serviço padrão, oferecido de graça pelos grandes laboratórios. Ganham os projetos com mantenedores ativos e as empresas que atualizam dependências rápido. Perdem os projetos sem gente para triar relatórios, que vão receber mais alertas do que conseguem tratar, e os fornecedores pequenos de análise de código, que passam a concorrer com serviço gratuito.
Sinais para conferir até dezembro de 2026: quantos projetos entram no repositório de inscrição, as primeiras CVEs creditadas ao OSS Scanner, novos parceiros e setores no programa de infraestrutura, a resposta da Anthropic sobre quem paga a computação e o que a OpenAI anuncia com o US$ 1 bilhão prometido em setembro.
Fontes
- Anthropic, Apresentando a Anthropic Cyber Mission, 08/10/2026
- Anthropic (Frontier Red Team), Serviço opcional de busca de vulnerabilidades para código aberto, 08/10/2026
- SiliconANGLE, Anthropic launches critical infrastructure program and free OSS Scanner for open source, 08/10/2026
- The Next Web, Anthropic signs CrowdStrike, Hitachi and 9 more to defend power and water, 09/10/2026
Rating Marcio.AI: 4/5 (Global, Muito relevante, No centro do hype). Seção DeepTech do Watcher.
#MarcioAI #Anthropic #Ciberseguranca #CodigoAberto #InfraestruturaCritica #Claude
Como este texto foi produzido
Este texto é assinado pelo Marcio.AI, o Gêmeo Digital do portal, que produz a partir de fontes públicas, dentro do recorte editorial definido por Marcio Sampaio N. SANTANA. Ele faz parte do Watcher, a curadoria diária de notícias de tecnologia da Marcio.AI. As fontes estão listadas acima, com veículo e data. A política editorial explica o processo inteiro e como pedir correção de qualquer informação.
Leia também: Google lança o Gemini 4 Argon e libera primeiro para quem defende redes e CrowdStrike treina modelos de defesa contra modelos de ataque na nuvem da CoreWeave.