O exploit era a entrega

Na sexta-feira, a Anthropic ampliou o acesso ao seu modelo mais capaz para trabalho de segurança. O Claude Mythos 5 estava cercado dentro do Project Glasswing, um conjunto pequeno de organizações que defendem software crítico. Agora ele roda no Claude Security para clientes Enterprise, está entrando nos produtos defensivos de parceiros, e o Cyber Verification Program, que dá salvaguardas reduzidas a defensores verificados, também está se ampliando. A Anthropic ainda colocou 35 milhões de dólares em créditos por trás do trabalho de segurança em código aberto, através de um novo Defender Advantage Fund.

No sábado, o The Register cobriu o lado da demanda do mesmo negócio. Rob Joyce, ex-NSA, na RSAC: “Você vai passar por um red team quer pague por isso ou não. A única diferença é que você sabe quem recebe os resultados.” Evan Peña, que comandou o red team global da Mandiant e agora cofunda a Armadin: “Encontramos mais de 50 zero-days… que permitem a um atacante conseguir execução remota de código em um sistema real.” Agentes, acrescentou ele, “não dormem e não tiram férias.”

As duas matérias resolvem quem pode pedir capacidade ofensiva. Nenhuma resolve onde roda o código que volta, e ele roda em algum lugar.

A Anthropic desenhou a salvaguarda em volta do modelo

O texto explica o desenho, e é um bom desenho. O risco que a Anthropic administra é o acesso direto ao modelo: “O comportamento mais arriscado ocorre quando um usuário tem acesso direto a um modelo, onde um ator malicioso pode tentar guiá-lo para usos nocivos. Mas se os usuários só podem receber saídas específicas, como um patch para uma vulnerabilidade ou um alerta de segurança, esse risco é muito menor.”

Então um produto parceiro roda o Mythos em segundo plano para uma tarefa definida e devolve um artefato. Uma ferramenta de remediação retorna patches sugeridos. A pessoa que segura a ferramenta não pode se virar e pedir um exploit funcional, porque ela nunca fala com o modelo. O Claude Security funciona do mesmo jeito: ele varre um repositório que é seu e retorna cada descoberta com uma categoria CWE, uma nota de confiança e severidade, e uma correção sugerida. Um humano revisa e aprova cada patch.

Uma frase do anúncio move a história para um laptop. Uma vez que você tem a descoberta, você “abre o Claude Code na web para implementar a correção.”

Essa é a decisão de produto certa. Varrer e corrigir são trabalhos diferentes, e o trabalho de correção quer um agente comum em um repositório comum. É também onde uma fronteira de acesso ao modelo deixa de alcançar. O Cyber Verification Program chega ao mesmo ponto pelo outro lado: seu propósito declarado é “minimizar interrupções para equipes aceitas que fazem trabalho legítimo de cibersegurança em sistemas que estão autorizadas a proteger.” Salvaguardas reduzidas, de propósito, para gente cujos agentes precisam escrever código ofensivo. A cada mês mais laptops rodam um agente que vai escrever e executar uma prova de conceito quando pedirem, que é justamente o objetivo de entregá-los a defensores.

O controle de acesso responde quem pode pedir. Ele não responde o que a resposta pode tocar.

Vinte e seis mil agentes, três dias

Os números do The Register vêm de um engajamento que a Armadin conduziu com a TENEX.ai, descrito em um comunicado conjunto no começo deste mês. Três dias, uma instituição global não identificada, em condições de conhecimento zero: sem credenciais privilegiadas, sem lista branca, sem acesso ao código-fonte. O enxame indexou seu reconhecimento em um grafo de conhecimento, depois lançou 26.000 agentes e 1.300 ataques contra mais de 25.000 serviços, gerando 17 milhões de ações ofensivas. Voltou com 238 descobertas, 98 delas significativas, e 38 caminhos de ataque validados.

A metade defensiva produziu o número mais difícil. A TENEX.ai triou 101.169 alertas e reconstruiu tudo a partir de 231 bilhões de eventos brutos, nos quais a atividade do atacante era um evento em 13.338.

Matt Hartman, ex-chefe interino de cibersegurança da CISA e hoje no Merlin Group, disse ao The Register que as organizações “vão precisar tratar cada agente como uma identidade privilegiada.” Jay Bavisi, do EC-Council, forneceu a outra metade. “Ninguém faz pentest da organização inteira,” disse ele, enquanto os atacantes “não têm problema de escopo.”

Seu próprio agente também não tem problema de escopo, a menos que você lhe dê um.

Quatro coisas não confiáveis em uma sessão de segurança comum

Deixe o enxame de lado e observe um engenheiro fazendo trabalho de achar-e-corrigir numa terça-feira. O Claude Security aponta algo. Você abre um agente para escrever o patch, e para saber que o patch funciona você o deixa reproduzir o bug. Essa sessão contém quatro coisas que a máquina não tem razão para confiar, e são as mesmas quatro venha a descoberta de um enxame ou de um scanner.

Ninguém errou para chegar a essa lista. Ela descreve as condições normais de fazer trabalho de segurança em um computador de uso geral.

O Bromure dá um controle a cada uma delas

O Bromure Agentic Coding roda o agente em uma VM Ubuntu descartável sobre o framework Virtualization da Apple, com kernel próprio, apenas as pastas do Mac que você escolheu montadas dentro, e um proxy MITM no lado do host como única rota para fora. Essa é a fronteira que falta na metade direita do diagrama.

Algo lê o conteúdo do alvo antes do modelo. O painel Prompt Injection pontua o conteúdo de arquivos, as páginas web e a saída de ferramentas que o agente puxa, seus blocos tool_result, com um modelo PromptGuard local. Ele pontua os arquivos de instrução que os agentes tratam como autoridade (CLAUDE.md, AGENTS.md, GROK.md, e suas variantes aninhadas e globais) com um classificador ModernBERT ajustado, junto de um scanner determinístico para a ofuscação em Unicode invisível que o modelo não consegue ler. Os dois rodam no seu Mac e não enviam nada a lugar nenhum. Você escolhe o que uma detecção faz: registrar, perguntar a você, ou falhar a requisição com um 451 antes de o modelo ver o texto.

O Bromure verifica o ferramental no registro. Cada download de pacote passa primeiro pelo proxy do host: npm, PyPI, Cargo, RubyGems, Maven, NuGet, Go, Packagist. Um portão de idade fica ligado por padrão em dois dias, então um scanner publicado hoje de manhã não instala. Faixas de versão flutuantes resolvem para o lançamento mais novo anterior ao corte, e uma referência fixada a algo fresco demais volta como 451 com um erro do Bromure nele. Consultas ao OSV bloqueiam versões vulneráveis conhecidas na severidade que você escolher. O Bromure retira scripts de instalação dos tarballs npm em tempo real, reescrevendo o tarball e o hash dos metadados do registro para que a verificação do próprio npm continue passando. O .npmrc dentro da VM pode apertar tudo isso e não pode afrouxar.

O escopo deixa de ser um documento. Em Guardrails, a tabela Outbound connections é um firewall por perfil: uma linha por regra, cada uma com uma ação, um protocolo (tcp, udp, web ou any), um host ou CIDR, portas, e para web uma lista de métodos HTTP. As regras casam de cima para baixo, a primeira que casa vence, e Unmatched traffic é uma chave de duas posições. Coloque em Deny, adicione os hosts do engajamento, e o problema de escopo de Bavisi vira um filtro de pacotes. A interceptação transparente vem ligada por padrão, então um convidado que desfaz HTTPS_PROXY não muda nada sobre quais conexões saem. Cada permissão e cada negação cai no Security Log.

As credenciais ao alcance não são as credenciais. Valores reais nunca entram na VM. O proxy troca um stub pelo token real no fio, o kubeconfig no convidado é sintético com certificados de cliente descartáveis, e a AWS ganha um helper credential_process que entrega ao SDK um segredo falso de quarenta caracteres enquanto o host reassina o SigV4 com o material verdadeiro. Qualquer coisa que contorne o proxy recebe InvalidSignatureException de volta da Amazon. Cada credencial também carrega uma política de escrita Off, Block destructive ou Read-only, aplicada no proxy do host onde um agente comprometido não pode discutir: uma execução de validação que não tem por que apagar um bucket S3 leva um 403 seco quando tenta. Require approval to use transforma uma credencial em um pedido de consentimento com concessão limitada no tempo de cinco minutos, uma hora, ou o resto da sessão. Isso serve bem para uma chave SSH durante um exercício de red team, quando você quer que a assinatura aconteça e quer saber que ela aconteceu.

O registro que você teria de escrever de qualquer jeito

Trabalho de red team produz papelada. O que você tocou, quando, sob qual identidade, e o que voltou. O Bromure escreve a maior parte disso como efeito colateral. A janela Security Timeline mantém uma única tabela cronológica de cada troca de credencial e cada assinatura, cada veredicto de pacote, cada permissão e negação do firewall, e cada detecção de injeção, guardada no Mac onde nada dentro da VM pode editar. Aumente o nível de trace da sessão e o proxy guarda também os corpos, cifrados em AES-GCM com a mesma chave de keychain dos segredos do seu perfil.

Entre engajamentos as camadas de armazenamento se separam. Erase home… devolve o /home/ubuntu do perfil ao estado pós-clonagem e leva junto os clones, os payloads, o histórico do shell e os caches dos scanners. Reset to base… descarta tudo que você instalou com sudo apt install e reclona o disco de sistema do workspace. As sobras de um alvo não seguem você até o próximo.

Dê à capacidade um lugar para pousar

A liberação em etapas da Anthropic é a versão responsável de uma decisão difícil. Entregar ao defensor o artefato em vez do modelo é o formato que leva capacidade de fronteira às pessoas que corrigem hospitais e concessionárias sem levá-la também a todo mundo, e o passo de aprovação humana nos patches não é enfeite. A Armadin e a TENEX.ai passaram seu engajamento por uma camada de controle com um modelo de segurança supervisor e um SOC de verdade observando do outro lado. Todo mundo no noticiário desta semana se comportou bem.

O que nada disso cobre é o laptop. Todo esse cuidado acaba no momento em que uma descoberta vira um arquivo, e o arquivo pousa numa máquina de uso geral que vem juntando credenciais desde o dia em que o TI a entregou. Joyce tem razão: você vai passar por um red team de um jeito ou de outro. Você não escolhe se o agente ofensivo existe. Você escolhe em qual máquina ele acorda, e pode escolher uma que você joga fora depois.

---

Fontes: Anthropic, “Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders” (21 de agosto de 2026) · The Register, “If you're not using AI to attack your own systems, your adversaries will” (22 de agosto de 2026) · Armadin e TENEX.ai, “Largest Controlled Live AI Cyberattack on Record” (3 de agosto de 2026) · SecurityWeek, “Kevin Mandia's Armadin Launches With $189.9 Million in Funding”