Empresas com acesso antecipado ao Claude Mythos Preview, da Anthropic, divulgaram cerca de 120% mais vulnerabilidades de software do que um grupo de comparação, segundo um estudo preliminar publicado em 4 de novembro. A análise não encontrou um atraso estatisticamente significativo nos canais de correção de fornecedores e distribuições Linux que examinou. Ainda assim, as divulgações públicas não abrangem todas as falhas, e a publicação de uma correção não significa que os utilizadores já a tenham instalado. Os resultados, portanto, não demonstram que o software esteja menos exposto a ataques.
Estudo compara 13 empresas participantes com 267 empresas chinesas
O estudo, assinado por Thomas Mosk, abrange o período de outubro de 2025 a setembro de 2026. A Anthropic anunciou o Project Glasswing em 7 de abril de 2026, dando a empresas selecionadas acesso ao Mythos Preview. Na análise das divulgações, os investigadores compararam 13 participantes com 267 empresas chinesas. As empresas do grupo de comparação podiam continuar a utilizar outras ferramentas de inteligência artificial.
As divulgações de vulnerabilidades aumentaram cerca de 120% entre as empresas participantes; as relativas a falhas de elevado impacto subiram aproximadamente 150%. A classificação de «elevado impacto» corresponde a vulnerabilidades com uma pontuação de impacto superior à mediana dos níveis de gravidade. Não mede diretamente as perdas efetivas.
As empresas não foram selecionadas aleatoriamente para o Glasswing, e as práticas de divulgação podem variar entre países. Estas limitações dificultam a identificação de uma relação de causa e efeito. Os resultados mostram uma associação entre o acesso e a alteração das taxas de divulgação, mas não provam que o modelo, por si só, tenha causado todo o aumento.
Canais de correção sem atraso significativo
Mosk analisou a correção de falhas separadamente das divulgações, comparando vulnerabilidades relacionadas com o Glasswing com outras vulnerabilidades não chinesas, em amostras mais pequenas. Uma análise acompanhou 658 falhas comunicadas a fornecedores através da Zero Day Initiative até junho de 2026. Outra abrangeu 14.855 vulnerabilidades divulgadas até julho e avaliou a correção por distribuições Linux como Debian, Ubuntu, Red Hat e SUSE.
Nenhum dos canais apresentou um atraso estatisticamente significativo. Para as vulnerabilidades divulgadas, o tempo mediano até à disponibilização de uma correção pelas distribuições manteve-se em um dia. As estimativas para correções dos fornecedores excluem um atraso superior a cerca de 13%, mas não permitem descartar alterações menores. Os dados a jusante também não excluem uma redução de aproximadamente 11 pontos percentuais na proporção de falhas corrigidas no prazo de 90 dias.
A análise abrange amostras específicas de vulnerabilidades e determinados canais de correção; não mede falhas que permaneceram por divulgar nem a rapidez com que os utilizadores finais instalam as atualizações. A disponibilização de uma correção não significa, por isso, que todos os sistemas afetados já estejam atualizados.
Sem alteração significativa nas vulnerabilidades exploradas conhecidas
Numa comparação que se estendeu até maio, antes da expansão do Glasswing em junho, o estudo não encontrou alterações estatisticamente significativas no número de vulnerabilidades conhecidas como exploradas em grandes empresas não chinesas, em períodos de um, dois ou três meses. Isso não significa que a exploração tenha permanecido igual: as estimativas são imprecisas, não excluem aumentos ou reduções e abrangem apenas casos de exploração precoce já conhecidos — não todos os ataques nem vulnerabilidades não divulgadas.
Em algumas comparações, diminuiu a proporção de vulnerabilidades divulgadas que se sabia terem sido exploradas. Mas, se o total de divulgações aumenta, essa proporção pode cair mesmo sem uma redução no número de vulnerabilidades exploradas conhecidas. O estudo considera esta evolução indicativa, não uma prova de que os ataques se tenham tornado menos frequentes.
A Epoch AI já tinha analisado alterações nas divulgações de vulnerabilidades de gravidade alta e crítica após o Mythos Preview, em 2 de julho. A organização advertiu que as estatísticas públicas podem não captar descobertas mantidas em sigilo e podem refletir um maior interesse pela investigação de vulnerabilidades.
Na infraestrutura de criptoativos, descobrir uma vulnerabilidade, publicar uma correção e instalá-la nos nós da rede são etapas distintas. Em 29 de outubro, a Bitcoin Core divulgou três vulnerabilidades identificadas por inteligência artificial, verificadas e corrigidas. A instalação dessas correções nos nós da rede era uma questão separada. O estudo encontrou mais divulgações, sem um atraso claro nos canais de correção medidos, mas não determina se isso reduziu os ataques ou melhorou a segurança do software em utilização.