A Anthropic decidiu ampliar o acesso de profissionais de cibersegurança aos seus modelos de inteligência artificial mais avançados. Com a medida, equipes previamente verificadas passam a trabalhar com menos proteções contra determinados usos de segurança digital.
Cyber Verification Program reformulado A mudança faz parte de uma versão reformulada do Cyber Verification Program (CVP), criado para permitir que organizações especializadas utilizem modelos poderosos da Anthropic na identificação de vulnerabilidades, resposta a incidentes e testes de segurança.
Resultados expressivos anteriores A decisão ocorre depois de uma iniciativa anterior da empresa, chamada Project Glasswing, ter ajudado parceiros a encontrar pelo menos 129 mil vulnerabilidades de software verificadas entre abril e julho de 2026. Mais de 33 mil dessas falhas foram classificadas até agora como críticas ou de alta gravidade. A Anthropic afirma, porém, que os números provavelmente representam apenas uma parcela do total. A empresa estima que o impacto real possa ser pelo menos cinco vezes maior, já que os dados foram obtidos a partir de a partir de uma pesquisa com apenas parte dos parceiros do programa.
Estrutura de três níveis para testadores O novo programa reúne duas iniciativas que a Anthropic vinha conduzindo separadamente nos últimos seis meses. O Project Glasswing permitia que organizações responsáveis pela segurança de softwares críticos utilizassem o Claude Mythos, família de modelos da empresa voltada para capacidades avançadas de cibersegurança. Já o CVP original dava às equipes de segurança previamente verificadas acesso a versões com menos proteções dos modelos Claude Opus e Sonnet. Agora, os dois programas foram combinados em uma única estrutura com três categorias de acesso, cada uma com requisitos próprios de verificação e controles de segurança, incluindo o Claude Opus 5.5, Claude Sonnet 5.5 e Claude Mythos 5.1, além dos futuros modelos da Anthropic.
O primeiro nível, chamado Defense, é voltado para trabalhos defensivos como resposta a incidentes, análise de malware e investigação de vulnerabilidades. O segundo, Red Team, amplia as possibilidades para incluir testes de invasão autorizados. O terceiro nível, Specialized, terá as menores restrições e será reservado a um grupo pequeno de organizações autorizadas a testar sistemas considerados críticos para a segurança, como redes elétricas, sistemas de aviação e infraestrutura utilizada para transferências interbancárias. Os integrantes de cada categoria serão submetidos a processos de verificação realizados em conjunto com o governo dos Estados Unidos.
O dilema da segurança digital e da IA A decisão também expõe um dos principais dilemas envolvendo modelos avançados de IA aplicados à cibersegurança. As mesmas capacidades que permitem a um sistema encontrar uma vulnerabilidade e ajudar um especialista a corrigi-la podem ser utilizadas para explorar uma falha. A Anthropic já havia enfrentado preocupações desse tipo ao apresentar o Claude Mythos em abril. Na ocasião, o lançamento levantou temores de que sistemas de IA poderiam conseguir invadir softwares antes que suas vulnerabilidades fossem corrigidas.
Por isso, a companhia não está simplesmente retirando as proteções de seus modelos para qualquer usuário. A proposta é colocar capacidades mais avançadas nas mãos de quem trabalha justamente para encontrar e corrigir falhas antes que elas sejam exploradas por criminosos.
