O numero que importa e 231: vulnerabilidades classificadas como criticas ou importantes que o Claude Mythos Preview da Anthropic achou no SharePoint num unico mes, 90 criticas e 141 importantes em abril, e, segundo a mesma reportagem, ainda mais na primeira quinzena de maio. Os numeros vem de uma investigacao da ProPublica publicada em 29 de julho, construida sobre a gravacao de uma reuniao interna da Microsoft e documentos internos. O Mythos chegou ao codigo da Microsoft pelo Project Glasswing, o programa da Anthropic que da a certos defensores acesso antecipado a seus modelos, lancado em 7 de abril com ate US$ 100 milhoes em creditos de uso.
A historia mora na gravacao da reuniao. Dezenas de engenheiros da Microsoft, informados de que cerca de 50 deles teriam acesso ao Mythos, tambem ouviram por que o relogio importava: 31 de maio 'e considerado o dia em que o resto do mundo tera alcancado', ou seja, a data em que se espera que os modelos publicos igualem o Mythos na caca a bugs. Um engenheiro soletrou o que isso significa: 'Entao voce esta dizendo que se for lancado em 1o de junho, em 2 de junho os adversarios terao nossos bugs?' A resposta na sala foi 'Exato.' A avaliacao de um gerente de engenharia sobre os proprios bugs, segundo a gravacao: 'Nao sao profundos nem exoticos, mas sao reais. E muitos sao exploraveis.' O plano do SharePoint era limpar primeiro os bugs criticos, os importantes ate agosto, depois cerca de 300 moderados; os documentos que a ProPublica revisou nem mencionavam bugs de baixa severidade.
Os totais sao visiveis de fora. Desde que a Microsoft comecou a usar o Mythos no inicio do ano, ele achou centenas de bugs classificados como criticos ou importantes no Microsoft 365, Teams e Copilot, e em meados de maio a maioria nao tinha correcao. O Patch Tuesday de junho trouxe correcoes para mais de 200 vulnerabilidades, entao um recorde historico; a versao de 14 de julho trouxe mais de 600, das quais so sete eram de severidade baixa ou moderada. Dustin Childs, da Zero Day Initiative (TrendAI), marcou o momento: 'O apocalipse dos bugs desabou sobre nos de vez.' No fim de junho, a alianca de inteligencia Five Eyes emitiu um alerta conjunto incomum: a janela dos defensores se fecharia em meses.
As duas empresas escolheram suas palavras. A Microsoft, em declaracoes escritas, disse que faz triagem por explorabilidade e impacto no cliente, que a aceleracao na mira de novas vulnerabilidades 'nao e um fenomeno novo', que seguranca 'e a prioridade mais importante da Microsoft' e que 'investiu pesado tanto em pessoas quanto em solucoes de triagem com IA'; recusou-se a dizer quantos bugs achados pelo Mythos corrigiu. A Anthropic se recusou a comentar qualquer coisa. O numero incomodo, entao, nao e 231. E a lacuna entre o ritmo em que um modelo ja consegue trazer a tona bugs exploraveis e o ritmo em que a maior vendedora de software do planeta consegue corrigi-los, porque depois de 1o de junho, segundo a propria reuniao da Microsoft, esse ritmo pertence a todos. Vinh Nguyen, conselheiro tecnico senior da Anthropic e ex-cientista-chefe de dados da NSA, formulou o erro de preco: falhas de baixo nivel encadeadas podem equivaler a uma severidade alta, e 'a estrategia atual de triagem pode estar subprecificando riscos'.