IA Mythos, da Anthropic, turbina segurança do Firefox e expõe falhas críticas

A parceria entre a Mozilla e a Anthropic está redefinindo a forma como grandes projetos de software lidam com segurança digital. Em poucas semanas, o novo modelo de IA da Anthropic, Mythos, passou de demonstração de laboratório a peça central da estratégia de proteção do Firefox, expondo falhas graves que tinham escapado por anos aos olhos de engenheiros e pesquisadores externos.

Quando a Anthropic apresentou o Mythos em abril, a empresa já avisava que estava diante de uma ferramenta excepcionalmente boa em identificar vulnerabilidades de código. Segundo o laboratório, o sistema encontrou milhares de bugs de alta severidade, a ponto de ser necessário corrigir uma parte significativa deles antes de liberar o modelo amplamente.

Agora, a equipe de segurança da Mozilla começa a detalhar o impacto prático dessa tecnologia dentro do Firefox. Em um relato técnico publicado nesta quinta-feira, os engenheiros descrevem como o Mythos ajudou a localizar um grande volume de falhas importantes, incluindo erros enterrados há mais de dez anos no código do navegador.

O salto de eficiência é evidente nos números. Em abril de 2026, o Firefox embarcou 423 correções de bugs, contra apenas 31 no mesmo período do ano anterior, um aumento que os pesquisadores atribuem diretamente ao uso intensivo de ferramentas de IA mais avançadas e a novas técnicas para orquestrar esses modelos de forma “agentic”, capazes de revisar e filtrar o próprio trabalho.

Até recentemente, sistemas de IA para segurança costumavam decepcionar as equipes técnicas, gerando pilhas de relatos imprecisos e falsos positivos que atrasavam mais do que ajudavam. A Mozilla afirma, porém, que a nova geração desses modelos marca uma virada: em vez de sobrecarregar os times, eles passaram a entregar análises mais confiáveis, ao ponto de mudar a dinâmica interna de caça a vulnerabilidades.

Um dos pontos mais sensíveis é o sandbox do Firefox, área do navegador projetada justamente para isolar código malicioso e limitar danos em caso de exploração. Encontrar falhas nesse mecanismo é complexo: exige que o modelo proponha uma modificação específica no código e, em seguida, a utilize como vetor para romper a barreira de segurança mais protegida do browser. Ainda assim, a Mozilla relata que o Mythos tem identificado mais problemas de sandbox do que as contribuições humanas recebidas por meio dos programas tradicionais de recompensa por bugs.

O contexto torna esse resultado ainda mais expressivo. A Mozilla oferece até 20 mil dólares a pesquisadores que consigam encontrar vulnerabilidades no sandbox do Firefox, o maior valor pago pelo programa de bug bounty da organização, mas mesmo com esse incentivo o volume de descobertas humanas não se compara ao ritmo alcançado com a técnica baseada em Mythos.

Apesar da eficiência do modelo em apontar problemas, a correção continua sendo, em essência, um trabalho humano. A equipe de Firefox tem testado o uso de IA para sugerir patches, mas o código gerado raramente pode ser aplicado sem revisão e serve mais como rascunho inicial para os engenheiros. Cada correção ainda passa por um fluxo tradicional: um desenvolvedor escreve o patch e outro revisa antes da integração ao navegador.

Isso expõe um paradoxo central da fase atual da segurança com IA. Do lado da defesa, ferramentas como Mythos aceleram a descoberta de vulnerabilidades e ajudam a limpar código antigo em larga escala; ao mesmo tempo, é provável que atores mal-intencionados estejam experimentando abordagens semelhantes, mesmo que com modelos menos sofisticados.

A Anthropic afirma seguir práticas de divulgação responsável, coordenando com empresas afetadas para que falhas sejam corrigidas antes que detalhes técnicos venham a público. Ainda assim, a quantidade de bugs encontrados em tão pouco tempo torna difícil medir com precisão o impacto real dessas descobertas sobre o ecossistema de software como um todo, já que muitas correções ainda não chegaram aos usuários finais.

Em um evento recente, o CEO da Anthropic, Dario Amodei, procurou adotar um tom cautelosamente otimista. Segundo ele, se as empresas conseguirem aproveitar essa capacidade extra de varredura de código com responsabilidade, o resultado pode ser um cenário em que a maior parte das vulnerabilidades óbvias já foi corrigida, reduzindo a superfície de ataque disponível para criminosos.

Dentro da Mozilla, o diagnóstico é mais equilibrado. Engenheiros que atuam na linha de frente enxergam o Mythos como um reforço poderoso para os defensores, mas reconhecem que a mesma classe de ferramentas também está nas mãos de atacantes e que ninguém sabe, por enquanto, como esse jogo de forças vai se estabilizar. A única certeza, por ora, é que a maneira de construir e proteger software está mudando rápido — e navegadores como o Firefox estão entre os primeiros a sentir o impacto.