"Descoberta de Zero-Day por IA: O Risco Cibernético é Real ou Exagero?"

"## Descoberta de Zero-Day por IA: O Risco Cibernético é Real ou Exagero?\n\nGeorge Hotz jogou uma granada no debate sobre segurança em IA na semana passada. Um tweet. Quarenta e seis palavras. E um desafio tão pontual que fez todos os decks de marketing de cibersegurança no Vale do Silício parecerem um pouco ridículos de repente.\n\n"E se eu lançar um zero-day por dia até que um grande modelo novo seja lançado? Isso vai finalmente fazer a OpenAI e a Anthropic pararem de falar sobre 'risco de cibersegurança'?"\n\nLi três vezes. Depois abri minhas anotações da semana anterior — quando a Anthropic havia anunciado o Claude Mythos Preview, alegou uma taxa de sucesso de 83,1% no benchmark CyberGym de vulnerabilidades e se recusou a lançar o modelo publicamente porque era "perigoso demais." Eu estava rascunhando um post sobre o que isso significava para a segurança defensiva. O tweet de Hotz me fez jogar todo o rascunho fora e começar do zero.\n\nPorque aqui está o ponto. Passei anos em ambos os lados dessa equação. Construo sistemas de automação com IA diariamente — agentes Claude Code rodando em projetos de clientes, Opus 4.6 como meu modelo principal de codificação, toda a stack. Também faço trabalho de segurança. Já auditei deployments WordPress, aplicações Laravel e mais políticas AWS IAM do que me recordo. Escrevi ferramentas adjacentes a testes de penetração. Sei como é encontrar um zero-day real na prática versus como parece em uma demo.\n\nE depois de duas semanas acompanhando esse debate se desenrolar — a Anthropic alegando risco existencial em cibersegurança, Hotz dizendo que é teatro — cheguei a uma posição que nenhum dos dois vai gostar.\n\nAmbos têm parcialmente razão. E a parte que ninguém está discutindo é exatamente a que mais importa.\n\nDeixa eu te guiar por isso.\n\n## O Que a Anthropic Realmente Afirmou (E Por Que Chamou a Atenção de Todo Mundo)\n\nAntes de chegarmos à crítica, vamos deixar os fatos claros. Porque boa parte da conversa online se baseia em impressões, não no anúncio em si.\n\nEm 8 de abril de 2026, a Anthropic publicou duas coisas simultaneamente. A primeira foi uma prévia de pesquisa do Claude Mythos Preview — um modelo de fronteira não lançado que descreveram como uma "mudança de patamar" na descoberta autônoma de vulnerabilidades. A segunda foi o Project Glasswing — um programa para direcionar as capacidades do Mythos Preview à segurança defensiva, trabalhando com um pequeno grupo de parceiros selecionados e mantenedores de código aberto.\n\nO número que virou manchete: 83,1% de taxa de sucesso no CyberGym, acima de 66,6% do seu melhor modelo anterior. O CyberGym é um benchmark que mede a descoberta autônoma de vulnerabilidades reais em software. Não bugs de brinquedo. Não desafios CTF sintéticos. CVEs reais em codebases reais.\n\nO exemplo que fez o café de todo pesquisador de segurança esfriar: o Mythos Preview encontrou uma vulnerabilidade de 16 anos no FFmpeg — a biblioteca da qual todo software de vídeo do mundo depende — em uma linha de código que ferramentas automatizadas de fuzzing tinham atingido cinco milhões de vezes sem detectar. Ele também encadeou de forma autônoma múltiplas vulnerabilidades do kernel Linux para escalar de acesso comum a controle root completo de uma máquina.\n\nO enquadramento da Anthropic foi inequívoco: "Os modelos de IA atingiram um nível de capacidade de codificação em que podem superar todos, exceto os pesquisadores humanos mais habilidosos, na descoberta e exploração de vulnerabilidades de software."\n\nEntão não lançaram o modelo. Rollout limitado apenas. Parceiros aprovados sob o Project Glasswing. Desenvolvedores comuns e startups não precisam se candidatar.\n\nEssa decisão — a restrição, não a capacidade — foi ao que Hotz respondeu. E a resposta dele é onde as coisas ficam interessantes.\n\n## A Crítica de Hotz: Escassez é uma Escolha de Política, Não um Limite Técnico\n\nO argumento de Hotz, despido da bravata do Twitter, se resume a uma afirmação: vulnerabilidades de software não são realmente raras. Estão em todo lugar. No firmware do seu roteador, na sua smart TV, na sua pilha Bluetooth, no motor JavaScript renderizando este post. O que é raro são pessoas com permissão legal, tempo e incentivo econômico para divulgá-las publicamente.\n\n"Quer que mais zero-days sejam encontrados?" disse ele. "Torne o hacking legal. Até lá, não tente dizer que é difícil — simplesmente não há incentivo."\n\nQuero questionar isso antes de concordar com a parte que está certa. Porque Hotz é George Hotz. Ele desbloqueou o iPhone aos 17 anos. Fez engenharia reversa no PlayStation 3 antes de a Sony processá-lo. Treina modelos de direção autônoma na Comma.ai. O pesquisador de segurança mediano não é George Hotz. Dizer "zero-days são fáceis" quando você é uma das talvez duzentas pessoas no planeta com seu perfil específico de habilidades é um pouco como Tiger Woods dizer que golfe não é difícil.\n\nMas.\n\nO ponto estrutural se sustenta. Já vi isso acontecer no meu próprio trabalho. Quando faço uma revisão de segurança para um cliente, não sou limitado pela minha capacidade de encontrar bugs — sou limitado por tempo, escopo e cobertura legal. Um engajamento típico de teste de penetração dura duas semanas. Nessas duas semanas, encontrarei mais problemas do que o cliente consegue corrigir em dois meses. Se eu tivesse três meses e sem limites de escopo, encontraria uma ordem de magnitude a mais. Isso não é uma percepção especial. É o que todo pentester com quem já conversei vai te dizer.\n\nO gargalo não está na descoberta. Está na estrutura de permissões em torno da descoberta.\n\nO que significa que quando a Anthropic diz que o Mythos Preview encontrou milhares de zero-days em duas semanas de testes internos, minha reação não é "nossa, a IA desbloqueou alguma nova capacidade que humanos não podiam alcançar." Minha reação é "sim — porque tinha escopo ilimitado, tempo ilimitado e total cobertura legal da empresa controladora." Essas são exatamente as restrições que prendem os pesquisadores humanos, e removê-las de um agente suficientemente capaz produz exatamente esse resultado.\n\nEntão o número 83,1% é real? Provavelmente sim. A capacidade é perigosa? Argumentavelmente sim. É uma mudança categórica para a qual nada mais no setor de segurança nos preparou? Essa parte eu não estou comprando. E se você continuar lendo, mostrarei por que a economia importa mais do que a capacidade.\n\n## A Verificação da Realidade do Bug Bounty\n\nAqui está um teste para qualquer narrativa de "a IA vai destruir a cibersegurança". Faça esta pergunta: se zero-days são tão escassos e tão valiosos, por que o mercado já não se equilibrou?\n\nPorque o mercado, na verdade, vem se equilibrando há anos. E os preços contam uma história que contradiz o enquadramento existencial.\n\nO programa de recompensas de segurança da Apple, a partir de outubro de 2025, paga $2 milhões por um exploit de execução remota de código zero-click no iOS — a joia da coroa da segurança ofensiva. Com os bônus de Modo de Bloqueio e bônus de software beta somados, o pagamento máximo pode ultrapassar $5 milhões por uma única cadeia. O evento Zero Day Quest 2026 da Microsoft — realizado em seu campus em Redmond em março — pagou $2,3 milhões em cerca de 80 vulnerabilidades, com orçamentos totais de programa chegando a oito dígitos anualmente. O Vulnerability Reward Program do Google, o pool de recompensas da Meta, o bounty móvel da Samsung — a economia coletiva de bounty legal está bem na casa dos nove dígitos por ano.\n\nO que isso nos diz? Duas coisas, e elas apontam em direções opostas.\n\nPrimeiro: o mercado de bounty é eficiente. Se zero-days fossem tão trivialmente encontráveis quanto Hotz implica, esses preços seriam mais baixos. Um pesquisador com um pipeline confiável de RCEs zero-click no iOS não estaria recebendo $2M por achado — estaria recebendo $50K, porque a oferta superaria a demanda. O preço reflete dificuldade genuína.\n\nSegundo: o dinheiro já está disponível para quem tiver a habilidade. Um pentester que encontra uma cadeia zero-click no iOS por ano ganha mais do que a maioria dos engenheiros sênior em grandes empresas de tecnologia. Se a pesquisa assistida por IA genuinamente multiplica a produção de um pesquisador competente mesmo que por 3x, o potencial de ganhos desse pesquisador não cai — sobe, porque ele captura mais do pool de bounty existente. A narrativa de "a IA vai desvalorizar pesquisadores de segurança" só funciona se você assumir demanda fixa. A demanda não é fixa. Cada novo dispositivo IoT, cada novo serviço em nuvem, cada novo modelo de IA é uma nova superfície de ataque que não existia cinco anos atrás.\n\nÉ essa a parte que a narrativa do apocalipse ignora. O modelo de ameaça não é "a IA torna zero-days infinitos." É "a IA muda quem consegue encontrá-los e com que rapidez." Essa mudança tem consequências — mas elas são econômicas e estruturais, não existenciais.\n\nE antes de chegarmos ao que essas consequências realmente significam para desenvolvedores em atividade, quero fazer a coisa desconfortável: fortalecer o argumento da Anthropic.\n\n## Por Que a Restrição da Anthropic Não é Apenas Marketing\n\nA leitura cínica do Project Glasswing vai assim. A Anthropic tem uma capacidade da qual quer se gabar. Também tem investidores e reguladores conscientes da segurança observando cada movimento. Solução: enquadre a capacidade como tão perigosa que não pode ser lançada, gere um ciclo de relações públicas sobre desenvolvimento responsável de IA e use silenciosamente o modelo com clientes empresariais aprovados que possam pagar por ele. Bolo comido. Bolo tido.\n\nJá vi essa interpretação por todo o Hacker News e X. E admito — em um dia ruim, é para onde minha própria mente vai. Empresas de IA vêm "gritando que o lobo chegou" sobre capacidades de modelos há três anos. Todo grande lançamento é enquadrado como um risco civilizatório potencial até que doze semanas depois um concorrente lança algo similar e a conversa segue em frente.\n\nMas.\n\nUsei o Claude Code o suficiente para ter intuições calibradas sobre o que os modelos Claude atuais realmente conseguem fazer. O Opus 4.6 consegue manter um codebase de 200.000 tokens em contexto e raciocinar sobre dependências entre arquivos de maneiras que teriam parecido impossíveis dezoito meses atrás. Escrevi sobre isso na minha análise prática do Opus 4.6. Quando vejo o Opus 4.6 refatorando uma aplicação Laravel, ele não está apenas fazendo correspondência de padrões — está raciocinando sobre intenção arquitetural e implicações downstream.\n\nSe o Mythos Preview representa um passo significativo acima disso — e os próprios documentos internos vazados da Anthropic, que cobri no meu post sobre o vazamento do Claude Mythos, descrevem-no como "dramaticamente superior" — então a aplicação em pesquisa de vulnerabilidades não é uma jogada de marketing. É uma capacidade emergente previsível de um raciocínio de código suficientemente bom, apontado para entradas adversariais.\n\nAqui está o que específicamente me convence de que não é puro teatro: a natureza das vulnerabilidades encontradas.\n\nUm bug de 16 anos no FFmpeg que cinco milhões de execuções de fuzzer não detectaram não é o tipo de coisa que você encontra tendo sorte com um prompt. É o tipo de coisa que você encontra raciocinando sobre por que um determinado caminho de código pode ser inseguro em um caso extremo que os fuzzers — que funcionam por mutação aleatória de entradas — nunca gerariam. Isso é um tipo diferente de busca de força bruta. É pesquisa de vulnerabilidade orientada por hipótese. É o que humanos sênior fazem.\n\nSe um modelo consegue fazer isso de forma confiável — e se o custo de executá-lo continuar caindo do jeito que os custos de inferência têm caído há dois anos — então sim, a economia da pesquisa de segurança genuinamente muda. Não da forma "a IA vai acabar com a sociedade". Da forma mais mundana, mais importante: o piso sobe.\n\n## A Mudança Real: Quem se Beneficia de um Piso Mais Alto\n\nDeixa eu tentar ser específico sobre o que acho que realmente muda.\n\nAntes da pesquisa de vulnerabilidades assistida por IA, encontrar um bug não trivial em um codebase como FFmpeg ou o kernel Linux exigia uma combinação específica de habilidades raras: compreensão profunda da linguagem, familiaridade com o codebase, intuição sobre modelos de ataque e a paciência de perseguir dez becos sem saída para cada pista real. Essa combinação vivia em talvez dez mil pessoas no mundo, concentradas em algumas empresas, alguns governos e um punhado de pesquisadores independentes.\n\nApós a pesquisa assistida por IA — mesmo com modelos públicos significativamente mais fracos do que o Mythos Preview — essa combinação vive em um pool muito maior. Um desenvolvedor competente com interesse em segurança e uma chave de API do Claude pode agora fazer uma análise preliminar de vulnerabilidade em um codebase em uma tarde que teria levado um especialista uma semana. A barreira de entrada cai, mesmo que a barreira para habilidade de elite permaneça aproximadamente onde estava.\n\nÉ aqui que acho que os doomers estão errados e os dismissers também estão errados.\n\nOs doomers estão errados porque a IA não entrega repentinamente a um adolescente aleatório de 15 anos a capacidade de comprometer a cadeia de sinalização do iPhone. As habilidades necessárias para usar como arma um bug encontrado por LLM — escrever um exploit confiável, contornar mitigações, evitar detecção — ainda são habilidades profundamente humanas. Encontrar uma vulnerabilidade é o passo um de talvez quinze passos em uma campanha ofensiva real.\n\nOs dismissers estão errados porque "a barreira para encontrar bugs comuns" é uma coisa real que importa. A maioria das brechas de segurança não vem de zero-days exóticos de Estados-nação. Vêm de vulnerabilidades comuns — SQL injection, bypasses de autenticação, buckets S3 mal configurados, dependências desatualizadas. Uma ferramenta que torna a descoberta dessas vulnerabilidades 10x mais rápida muda o cálculo econômico para toda empresa de médio porte que não fez uma revisão de segurança real em três anos.\n\nO que corta em ambas as direções. Os defensores podem agora se dar ao luxo de uma revisão de segurança contínua de uma forma que não podiam antes. Os atacantes agora podem perfilar alvos mais rápido do que nunca. A corrida está on. E a pergunta que ninguém tem uma resposta clara é se o lado defensivo consegue escalar atenção e correções tão rápido quanto o lado ofensivo consegue escalar a descoberta.\n\nDado como a maioria das organizações corrige lentamente — a reprodução de descobertas do Mythos pelo Vidoc Security Lab observou que 99% dos bugs que a Anthropic reportou ainda não foram corrigidos semanas depois — não sou otimista sobre essa corrida no curto prazo.\n\n## Para Onde os Números de Benchmark Realmente Apontam\n\nVamos ancorar isso em especificidades. Porque vi muitos artigos este mês citando números de benchmark sem explicar o que significam para alguém tomando decisões reais.\n\nAqui estão as pontuações de benchmark de modelos de fronteira que vale acompanhar, a partir de abril de 2026, especificamente no ARC-AGI-2 — um benchmark de raciocínio que se correlaciona razoavelmente bem com capacidade geral:\n\n| Modelo | Pontuação ARC-AGI-2 | Preço de Entrada / Saída (por 1M tokens) |\n|--------|---------------------|------------------------------------------|\n| Claude Sonnet 5 | 84,7% | $3 / $15 |\n| Gemini 3.1 Pro | 77,1% | $2 / $12 |\n| GPT-5.4 (nível Pro) | 83,3% | Preço de nível superior |\n| GPT-5.4 (padrão) | 73,3% | ~$2,50 / saída varia |\n| Claude Opus 4.6 | ~38% | $5 / $25 |\n\nAlgumas coisas chamam atenção. Primeiro, o Claude Sonnet 5 superou o Opus 4.6 nos benchmarks de raciocínio por um quinto do preço. Essa é uma inversão da hierarquia de nível tradicional, sobre a qual escrevi no meu post sobre codificação agêntica do Sonnet 5. Segundo, todo modelo de fronteira em 2026 pontua dramaticamente mais alto em raciocínio do que a geração de 2024 — a distância entre o que está disponível ao público e o que fica em laboratórios como o nível Mythos restrito da Anthropic está diminuindo, não aumentando.\n\nO que isso significa para o debate sobre zero-day? Significa que o ponto implícito de Hotz — que os modelos públicos já são capazes o suficiente para fazer pesquisa de vulnerabilidade significativa, se você estiver disposto a fazer o trabalho — é cada vez mais defensável. O Vidoc Security Lab reproduziu parte das descobertas do Mythos usando modelos públicos, com mais scaffolding e mais computação, mas sem nenhum acesso restrito. A diferença entre o Mythos Preview e o que um pesquisador determinado com Claude Sonnet 5 ou GPT-5.4 consegue fazer é menor do que o enquadramento da Anthropic implica.\n\nEssa diferença vai diminuir ainda mais. Quer a Anthropic queira ou não.\n\n## O Que Eu Realmente Faria no Seu Lugar\n\nChega de debate. Deixa eu te dar a leitura prática para três situações específicas.\n\nSe você é um desenvolvedor que publica software em produção: Assuma que seu código vai ser auditado por uma IA com capacidade de nível Mythos nos próximos doze meses — porque alguma versão dessa capacidade estará disponível publicamente até lá. O endurecimento que faz sentido para uma equipe red team humana (validação de entrada, minimização da superfície de ataque, princípio do menor privilégio, higiene de dependências) é o mesmo endurecimento que faz sentido para uma auditoria impulsionada por IA. As ferramentas mudam; os fundamentos não. Se você ainda não está rodando uma ferramenta como Snyk, Semgrep ou equivalente em cada PR, comece esta semana. Se quiser um guia mais aprofundado de como construir uma camada de segurança contínua impulsionada por IA no seu próprio workflow, cobri a configuração exata que uso no meu post sobre o agente de scanner de segurança Claude Code.\n\nSe você é pesquisador de segurança ou pentester: Este é o momento mais interessante na área em uma década. Comece a integrar a descoberta assistida por IA no seu workflow agora, não porque ela substitua suas habilidades, mas porque os clientes que contratarem você em 2027 vão esperar isso da mesma forma que esperam que você use Burp Suite hoje. Os pesquisadores que tratarem isso como ameaça serão esmagados. Os que tratarem como multiplicador de força ganharão mais dinheiro do que nunca.\n\nSe você gerencia uma empresa que depende de infraestrutura de código aberto: Assuma que toda biblioteca de código aberto amplamente utilizada vai ter múltiplas novas descobertas de alta severidade divulgadas nos próximos dezoito meses. Orçamento adequadamente. Financie os mantenedores das bibliotecas das quais você depende — por meio do GitHub Sponsors, por contratos diretos, por qualquer meio. A assimetria que a pesquisa da Anthropic expôs — IA poderosa apontada para OSS subfinanciado — não vai desaparecer. A coisa responsável é ajudar os humanos do outro lado dessa assimetria.\n\nMais uma coisa. Se você está construindo agentes de IA para qualquer finalidade — e muitos dos meus leitores estão — a capacidade de pesquisa de vulnerabilidades que a Anthropic demonstrou é uma prévia de como a capacidade do agente parece em todos os domínios que envolvem busca orientada por hipótese sobre grandes entradas estruturadas. Caça de bugs. Revisão de documentos legais. Análise de literatura científica. Análise forense financeira. Se você quiser uma visão fundamentada de como pensar sobre a construção de sistemas de agentes em produção agora, o guia do Anthropic Agent SDK que escrevi cobre os padrões arquiteturais.\n\n## Onde Isso Deixa o Debate Hotz vs. Anthropic\n\nDe volta à granada que iniciou este post.\n\nHotz realmente lançou um zero-day por dia? Até o momento em que escrevo, não. A ameaça foi retórica. O que é ou a) porque fazer isso é mais difícil do que ele implicou, ou b) porque o custo legal e ético de realmente lançar zero-days publicamente é enorme independentemente da dificuldade técnica. Acredito que é principalmente (b), com um pouco de (a) para as classes específicas de zero-clicks pelos quais a Apple paga sete dígitos.\n\nA Anthropic exagerou no risco existencial do Mythos Preview? Provavelmente sim no enquadramento, provavelmente não na capacidade. O modelo consegue fazer o que disseram que consegue. A questão de se isso é "perigoso demais para lançar" é uma questão de política, não técnica — e pessoas razoáveis podem discordar sobre onde a linha fica.\n\nAqui está onde fico. A parte interessante deste debate não é qual lado está certo. Ambos os lados têm pontos afiados e ambos os lados estão parcialmente argumentando a partir do interesse próprio. A parte interessante é o que o debate revela sobre onde o campo está.\n\nEstamos no ponto em que um modelo de IA de fronteira consegue fazer, de forma autônoma, o tipo de pesquisa de vulnerabilidades que anteriormente exigia um pesquisador humano sênior trabalhando por uma semana. Isso é real. Isso é verificado por reproduções independentes. Isso estará disponível publicamente — em diferentes níveis de qualidade — dentro do ano.\n\nA questão não é se entrar em pânico ou descartar. A questão é: dado que essa capacidade agora faz parte do cenário, como queremos estruturar os sistemas legais, econômicos e defensivos ao redor dela?\n\nÉ a conversa que o enquadramento da Anthropic está tentando ter. É também a conversa que a crítica de Hotz está tentando forçar. Eles estão discutindo sobre táticas. Sobre a questão subjacente — que algo significativo mudou na segurança ofensiva — eles na verdade concordam. Apenas discordam sobre quem deveria ter permissão de dizer isso em voz alta.\n\nEu? Acho que a melhor coisa que um engenheiro em atividade pode fazer agora é levar o modelo de ameaça a sério, usar as ferramentas disponíveis e endurecer seus próprios sistemas como se um pesquisador de IA incansável com uma vingança fosse auditar seu código na próxima terça-feira.\n\nPorque mais cedo do que você pensa, haverá um.\n\nOs mantenedores do FFmpeg não sabiam que seu código tinha um bug de 16 anos. Agora sabem. A questão que vale refletir esta noite é o que está no seu codebase — aquele que você escreveu, aquele do qual você depende, aquele que você colocou em produção no trimestre passado — que um pesquisador de IA com oito horas e um prompt encontraria até quinta-feira à tarde.\n\nIsso não é uma questão de marketing. Não é uma questão de hype. É apenas a nova realidade de publicar software em 2026.\n\nE se você não está se protegendo contra isso, já está atrasado.\n\n## Vamos Trabalhar Juntos\n\nQuer construir sistemas de IA, automatizar workflows ou escalar sua infraestrutura de tecnologia? Adoraria ajudar.\n\n* Fiverr (builds e integrações personalizadas): fiverr.com/s/EgxYmWD\n* Portfolio: mejba.me\n* Ramlit Limited (soluções enterprise): ramlit.com\n* ColorPark (design e branding): colorpark.io\n* xCyberSecurity (serviços de segurança): xcybersecurity.io"