Blog
O momento Mythos: o que os ataques com IA significam para a ciberresiliência
5 minutos de leitura
29 abril 2026
Os modelos de vanguarda estão a comprimir os calendários dos ciberataques e a redefinir a forma como os líderes devem medir e responder ao risco.
Durante anos, a cibersegurança operou com base numa premissa quase tácita: ataques verdadeiramente sofisticados exigiam atacantes igualmente sofisticados. Mesmo quando eram descobertas vulnerabilidades, existia geralmente uma margem de segurança significativa que permitia tempo para a devida correção. Este tampão está a encolher rapidamente, e os modelos de IA de vanguarda — os modelos de grande escala mais avançados da nossa época — são a principal razão para isso.
No início de abril de 2026, a Anthropic anunciou o Claude Mythos Preview, um modelo de vanguarda capaz de identificar vulnerabilidades em grande escala e, simultaneamente, de as explorar. Em vez de o disponibilizar ao público em geral, a Anthropic optou por avaliar as capacidades do modelo e aplicá-las em contextos defensivos controlados.
O que aqui se descreve não se refere a um modelo único, mas a um ponto de inflexão mais amplo, evidenciado pelas recentes divulgações públicas de capacidades de IA. Não se trata apenas de uma nova ferramenta. Representa uma mudança profunda na economia do ciberrisco: tanto a descoberta como a instrumentalização estão a tornar-se mais baratas, mais rápidas e mais escaláveis, ultrapassando frequentemente a capacidade de remediação das organizações.
MODELO DE IA
O que é o Claude Mythos Preview?
É um modelo vanguardista capaz de identificar e explorar vulnerabilidades em grande escala.
Três implicações que todos os líderes de segurança devem compreender de imediato
Os programas defensivos tradicionais foram desenhados com base no fator tempo: tempo para avaliar, tempo para corrigir e tempo para validar a alteração. A IA de vanguarda elimina essa margem. À medida que a automatização acelera a descoberta de vulnerabilidades e o desenvolvimento de exploits, as organizações que dependem de controlos baseados em ciclos estáticos ficam irremediavelmente para trás.
A maioria dos painéis de controlo (dashboards) empresariais ainda trata as vulnerabilidades como falhas independentes, classificadas de forma isolada. Os atacantes que utilizam IA, pelo contrário, pensam em caminhos: analisam como pequenas vulnerabilidades podem ser encadeadas nas camadas de identidade, aplicações e infraestruturas para executar uma intrusão completa. Várias vulnerabilidades moderadas podem ser combinadas para criar um risco crítico para o negócio.
A nova pergunta para o Conselho de Administração: A questão já não é: "Quantas vulnerabilidades temos?" Mas sim: "Que vulnerabilidades podem ser interligadas em caminhos de ataque concretos e com que rapidez podemos interromper esses caminhos?"
A decisão da Anthropic de manter o Mythos em ambiente controlado demonstra a criticidade das suas capacidades. Contudo, a restrição não é um controlo permanente. A história prova que as técnicas se difundem rapidamente, os concorrentes iteram-nas e as barreiras de segurança desgastam-se. Os líderes de segurança devem partir do princípio de que capacidades comparáveis chegarão aos seus adversários muito mais cedo do que a maioria dos programas empresariais prevê.
A nova pergunta para o Conselho de Administração: A questão já não é: "Quantas vulnerabilidades temos?" Mas sim: "Que vulnerabilidades podem ser interligadas em caminhos de ataque concretos e com que rapidez podemos interromper esses caminhos?"
Seis medidas imediatas para reforçar significativamente a sua resiliência
1.
Reestabeleça a exposição de base com dados de referência reais
Mantenha inventários continuamente atualizados de ativos em cloud, SaaS, infraestrutura e IA. Implemente Listas de Materiais de Software (SBOM) para que a exposição possa ser avaliada em minutos, e não em dias, sempre que surgirem novas vulnerabilidades públicas.
2.
Reduza a dívida técnica de forma agressiva
Sistemas em fim de vida útil (end-of-life) e plataformas legadas criam uma exposição permanente. Encare a modernização, as atualizações de dependências e a renovação da infraestrutura como prioridades executivas e estratégicas, e não como meros itens pendentes no orçamento de TI.
3.
Automatize a gestão e aplicação de patches
Agilize os testes, a implementação faseada e os processos de reversão (rollback). Estabeleça vias de alteração de emergência para vulnerabilidades críticas expostas à Internet. Meça o tempo médio de aplicação de patches (MTTP) como um KPI operacional principal e procure reduzi-lo continuamente.
4.
Proteja as identidades não humanas como uma superfície de ataque crítica
As contas de serviço, chaves de API, bots de automatização e agentes de IA superam frequentemente em número os utilizadores humanos e, por norma, possuem privilégios excessivos. Elimine o acesso permanente, renove as credenciais (secrets) de forma agressiva e adote modelos de autorização just-in-time.
5.
Configure o tráfego de saída da produção para ser "recusado por predefinição"
Os controlos de saída reduzem drasticamente os riscos de comando e controlo (C2), movimentos laterais na cadeia de abastecimento e exfiltração de dados. O acesso de saída alargado deve ser a exceção e exigir sempre uma aprovação explícita.
6.
Combata a IA com a IA, garantindo a governação empresarial
Os testes periódicos de intrusão (pentests) e a deteção baseada em assinaturas já não são suficientes. A resposta defensiva deve funcionar à mesma velocidade que a ameaça. Isto exige uma descoberta de vulnerabilidades aumentada por IA, gestão contínua da exposição e controlos em tempo de execução para agentes autónomos.
A resposta à velocidade da máquina: Claude Security e Accenture Cyber.AI
Para acompanhar este novo paradigma, a Anthropic anunciou o lançamento do Claude Security, que utiliza o Claude Opus 4.7 — um dos modelos de uso geral mais robustos do mercado — para acelerar as capacidades de ciberdefesa.
Como parceira estratégica da Claude Security, a Accenture já está a colocar estas funcionalidades em prática através da sua nova plataforma Cyber.AI, desenvolvida em estreita colaboração com a Anthropic. A plataforma combina a defesa à velocidade da IA com a governação de nível empresarial, controlos de identidade e a resiliência operacional que os sistemas autónomos exigem.
O Cyber.AI foi desenhado para transitar as operações de segurança da resposta ao ritmo humano para uma execução contínua e automatizada, sem nunca sacrificar o controlo, a capacidade de auditoria ou a confiança institucional.
O momento Mythos é real. O tempo de agir é agora.
O momento Mythos é real. A introdução de capacidades tão poderosas não deve travar a adoção da IA, mas sim servir de apelo para redefinir os padrões de cibersegurança num ambiente onde tanto atacantes como defensores operam à velocidade das máquinas.
As organizações que agirem de imediato — reduzindo a dívida técnica, acelerando os ciclos de correção e implementando defesas aumentadas por IA com uma governação robusta — estarão protegidas. Aquelas que optarem por esperar serão forçadas a adaptar-se sob o impacto de um ataque.