Mythos, da Anthropic, acelera a descoberta de vulnerabilidades por IA — e escancara o verdadeiro gargalo: a janela de exposição
Meses depois do lançamento do Mythos pela Anthropic, um sistema de IA para descoberta automatizada de vulnerabilidades em escala, o debate sobre volume de CVEs cede lugar a uma pergunta mais incômoda: o gap entre a velocidade com que falhas são encontradas e a velocidade com que são corrigidas. O artigo argumenta que o breakout time de invasores caiu para 29 minutos em 2025, enquanto padrões como o PCI DSS ainda toleram até 30 dias para remediar falhas críticas.
Desde a revelação do Mythos em abril de 2026, a reação da indústria de segurança se concentrou em uma preocupação de volume: quantos CVEs novos essa ferramenta de descoberta automatizada adicionaria a um pipeline de triagem que já estava sobrecarregado, e quão rápido adversários conseguiriam armar essas descobertas em escala. São perguntas legítimas, mas o artigo argumenta que elas param exatamente onde o problema real começa.
O Mythos opera dentro da lógica do CTEM (Continuous Threat Exposure Management), um framework de cinco estágios — escopo, descoberta, priorização, validação e mobilização. A tese central é que os três primeiros estágios, antes limitados pela capacidade humana de analisar código e sistemas, agora rodam em velocidade de máquina graças a ferramentas como o Mythos. O gargalo não desaparece: ele simplesmente migra para os dois últimos estágios, especialmente a mobilização, que continua dependendo de processos organizacionais lentos — priorização de patch, janelas de manutenção, aprovação de mudanças.
Os números citados ilustram o descompasso: o "breakout time" médio de um invasor, ou seja, o tempo entre o acesso inicial e o movimento lateral dentro da rede, caiu para 29 minutos em 2025. Ao mesmo tempo, frameworks de compliance amplamente adotados, como o PCI DSS, ainda dão até 30 dias para a correção de vulnerabilidades críticas — uma disparidade de cerca de 1.000 para 1 entre o tempo de exploração e o tempo de remediação normativo. Em paralelo, o volume de CVEs também cresce: 48.185 divulgações em 2025 (alta de 22% sobre o ano anterior), com projeção de 66.000 para 2026, e ferramentas de descoberta por IA devem acelerar ainda mais essa curva.
O recorte relevante para quem defende sistemas de IA e software em geral é que a IA está mudando a economia de ambos os lados: acelera quem descobre falhas (pesquisadores e, potencialmente, atacantes) muito mais do que acelera quem as corrige. Estudos mencionados no artigo mostram que vulnerabilidades críticas levam em média 55 dias para remediação, com quase metade ainda não corrigida após um ano — uma janela de exposição que ferramentas como o Mythos só tendem a alongar em termos relativos, mesmo comprimindo o tempo de descoberta. A recomendação prática é que equipes de segurança comecem a medir e otimizar velocidade de mobilização com o mesmo rigor que já aplicam a SLAs de SOC, em vez de continuar otimizando apenas para volume de achados.