CIO federal alerta sobre limites do modelo de IA Mythos da Anthropic antes de implementação

O Chief Information Officer (CIO) federal dos EUA, Greg Barbaccia, afirmou nesta semana que o governo está abordando o modelo de IA Mythos da Anthropic com expectativas moderadas. Embora reconheça seu potencial para reforçar as defesas cibernéticas governamentais, ele destacou as incertezas significativas sobre seu desempenho em condições reais de operação.

Barbaccia revelou que sua exposição direta ao Mythos se limitou a avaliações e testes de benchmarking, e que nenhuma agência federal ainda o implementou. Segundo ele, o Office of the National Cyber Director está coordenando a abordagem governamental, mas sua visão sobre o futuro da cibersegurança com auxílio de IA foi direta.

“Em breve, chegaremos a um mundo onde a defesa baseada em IA será capaz de acompanhar as ameaças”, declarou Barbaccia durante o Workday Federal Forum, evento organizado pela Scoop News Group. “Precisamos chegar ao ponto em que os robôs detectem outros robôs.”

No início deste mês, Barbaccia enviou um comunicado às agências do gabinete presidencial informando que a Office of Management and Budget já iniciou os preparativos para uma implementação controlada do modelo nas agências federais. Essa postura reflete a ideia de que as mesmas capacidades que tornam o Mythos uma potencial ameaça ofensiva são justamente o que o tornam valioso como ferramenta defensiva.

A Anthropic afirmou que, durante testes, o modelo identificou milhares de vulnerabilidades desconhecidas e de alta gravidade em sistemas operacionais e navegadores web, muitas delas com décadas de existência. No entanto, a dúvida central para as equipes de segurança federal não é se essas capacidades são reais, mas se elas se traduzem de ambientes laboratoriais controlados para as redes complexas e protegidas que as agências governamentais realmente utilizam.

Barbaccia foi franco sobre essa lacuna. “Acredito que o modelo elevará o nível de eficiência, tornando até mesmo operadores iniciantes em cibersegurança ofensiva mais produtivos”, disse ao CyberScoop. “Mas ainda não há consenso sobre sua eficácia em condições reais, ou seja, em uma rede protegida por defensores humanos, com sistemas de alerta e outras medidas.” Ele reforçou que as avaliações vistas até agora se baseiam em aprendizados de laboratório.

Essa distinção é crucial para as equipes de segurança federal que estão avaliando como incorporar o modelo em suas estratégias. Encontrar uma vulnerabilidade e explorá-la com sucesso em um ambiente defendido são problemas distintos, destacou Barbaccia. Ele citou o catálogo CVE — a lista oficial de falhas de software mantida pelo governo — como um exemplo onde a velocidade do Mythos poderia agregar valor prático. Enquanto um analista humano levaria semanas para percorrer todo o catálogo, o modelo poderia fazê-lo em questão de horas. No entanto, a velocidade não determina se uma vulnerabilidade representa uma ameaça real.

“Há uma diferença entre algo explorável em uma janela de 4 nanossegundos durante a inicialização do BIOS e a realidade de ser explorado no mundo real”, explicou. “Precisamos entender, assim como protegemos toda a superfície de ameaças, quais são os ‘crown jewels’ — os ativos mais críticos — e como garantir que as proteções implantadas sejam proporcionais ao valor do que estamos protegendo.”

Esse tipo de raciocínio é familiar aos defensores de redes federais, que operam sob restrições de recursos e precisam priorizar quais vulnerabilidades abordar primeiro. O que o Mythos potencialmente muda é a velocidade desse processo de triagem, mas a eficácia final ainda depende de testes em ambientes reais.