Pontos principais
- É provável que o Mythos acelere a descoberta de vulnerabilidades em uma escala e velocidade que superem os fluxos de trabalho tradicionais de correção, conduzidos por pessoas.
- Princípios fundamentais de segurança, como a aplicação de patches, backups em sistemas isolados e o gerenciamento disciplinado de vulnerabilidades, continuam sendo essenciais, mas podem não ser mais suficientes por si só.
- O principal desafio é passar da detecção para a capacidade de agir, à medida que o volume de vulnerabilidades cresce além dos limites operacionais atuais.
- A resiliência da IA depende da capacidade de recuperar sistemas coerentes — e não apenas dados — em todos os modelos, fluxos de trabalho e permissões.
- As organizações que se adaptarem de forma proativa durante essa fase inicial provavelmente estarão em uma posição significativamente melhor do que aquelas que adiarem a tomada de medidas.
Há algumas semanas, eu estava em uma sala com um grupo de CIOs e CISOs quando a conversa se voltou para o Mythos e o Projeto Glasswing. A energia foi imediata — trata-se de pessoas que já passaram por muitos ciclos de hype, e isso chamou a atenção delas. As reações se dividiram em dois campos. Primeiro: as categorias de ameaças não são novas — organizações com gerenciamento sólido de vulnerabilidades e backups isolados em rede confiáveis estarão em melhor posição do que aquelas que não as possuem. Segundo: a velocidade é diferente — não apenas o que o Mythos consegue detectar, mas com que rapidez os agentes mal-intencionados poderiam aproveitar a IA para ataques na velocidade de uma máquina, e como isso afeta os cálculos nos quais a maioria dos programas de gerenciamento de vulnerabilidades se baseia. Ambos estavam certos. Foi isso que fez valer a pena escrever sobre essa conversa.
O que o Mythos muda — e o que não muda
O Mythos é o modelo de IA da Anthropic para a detecção autônoma de vulnerabilidades. Ele é capaz de identificar e encadear exploits críticos nos principais sistemas operacionais com uma taxa de sucesso que, acredita-se, não tenha precedentes reais nesse domínio.
O Projeto Glasswing — o consórcio de empresas reunido para testar e fortalecer seus sistemas antes que o Mythos ou recursos semelhantes cheguem às mãos dos adversários — é o sinal de que isso é real, já está aqui e que o prazo para nos anteciparmos a isso é curto. A visão que prioriza os fundamentos continua válida: a aplicação de patches é importante, backups virtualmente isolados são importantes, a disciplina na gestão de vulnerabilidades é importante. Nada disso muda com o Mythos. O que muda é a taxa de produção do outro lado desses programas. Após o caso Glasswing, a questão não é se você possui um programa de gerenciamento de vulnerabilidades. É se ele foi desenvolvido para lidar com descobertas que surgem aos poucos — ou como um tsunami. A maioria dos programas foi desenvolvida para o fluxo lento. Avaliações periódicas, filas de priorização baseadas no CVSS, ciclos de correção e testes medidos em semanas. Esse ritmo fazia sentido quando o ritmo das descobertas correspondia ao ritmo dos processos conduzidos por pessoas. A capacidade da classe Mythos rompe com essa suposição — o volume de descobertas exploráveis pode exceder o que a maioria das organizações consegue processar por meio dos fluxos de trabalho que possuem hoje. A questão não é a detecção. É a capacidade de agir — e o que acontece quando a lacuna entre a descoberta e a correção se amplia mais rápido do que você consegue preenchê-la.
Quando a prevenção é limitada, a resiliência ganha força
Quando os prazos para a prevenção são reduzidos, a questão da resiliência passa a ser prioridade. Se você não pode garantir que aplicará todas as correções antes que uma vulnerabilidade seja explorada — e, cada vez mais, isso não é possível —, as questões que importam mudam: com que rapidez você detecta? Como você contém o problema? E, ao se recuperar, para qual estado exato você está voltando?
Essa última pergunta é mais difícil do que parece, especialmente para organizações com interações progressivas entre agentes. Um sistema de IA não é apenas dados. É uma versão de modelo, um pipeline de treinamento, um banco de dados vetorial, um conjunto de identidades e permissões de agentes — e tudo isso precisa refletir o mesmo estado operacional para constituir algo em que você possa realmente confiar. A maioria das organizações consegue restaurar componentes individuais. Muito poucas conseguem comprovar que o que restauraram é coerente.
A recuperação de um sistema de IA não é uma questão de restauração de dados. É uma questão de coerência — e é justamente nessa lacuna entre essas duas coisas que a maioria das empresas está atualmente vulnerável. Esse é o fio condutor que liga o Mythos ao debate mais amplo sobre resiliência em IA. Não é que o Mythos introduza um novo tipo de risco que exija uma nova estrutura.
O Mythos comprime a linha do tempo de tal forma que as lacunas existentes vêm à tona mais rapidamente, deixando menos tempo para corrigi-las antes que algo dê errado, aumentando assim a probabilidade de que algo dê errado antes que uma organização consiga corrigir adequadamente as vulnerabilidades.
A janela está aberta. Mas não ficará assim por muito tempo.
O Glasswing foi projetado para dar uma vantagem inicial aos defensores. As organizações que utilizarem essa janela de oportunidade de forma deliberada — testando a resistência de seus programas de vulnerabilidade em termos de volume, levando a infraestrutura de resiliência de IA a um estado em que possam se defender e tratando a recuperação como algo que deve ser comprovado antes de um incidente, e não montado durante ele — estarão em uma posição significativamente melhor do que aquelas que ficarem esperando. Os princípios básicos continuam válidos. A urgência é nova.
“A Empresa Agente: Por que a resiliência da IA exige um sistema de registro” — o mais recente Relatório de Preparação da Commvault — examina as lacunas na infraestrutura de resiliência da IA que determinam se as organizações são capazes de responder às difíceis questões relacionadas à recuperação quando o ritmo das ameaças assim o exige.
Perguntas frequentes
P: O que é o Mythos e por que ele é importante?
R: O Mythos é um modelo de IA projetado para a detecção autônoma de vulnerabilidades, capaz de identificar e encadear exploits entre sistemas a uma velocidade sem precedentes. Sua importância reside na forma como ele reduz o intervalo de tempo entre a descoberta da vulnerabilidade e sua possível exploração, aumentando o desafio para os defensores.
P: O Mythos altera os princípios fundamentais da segurança cibernética?
R: Não, práticas essenciais como a aplicação de patches, backups e gerenciamento de vulnerabilidades continuam sendo importantes. O que está mudando é o volume e a velocidade das ameaças, o que exerce pressão sobre os processos existentes, que foram projetados para fluxos de trabalho mais lentos e previsíveis.
P: Por que os programas atuais de gerenciamento de vulnerabilidades podem enfrentar dificuldades?
R: Muitos programas foram desenvolvidos para lidar com um fluxo constante de descobertas, e não com o aumento repentino de descobertas possibilitado pela IA. Como resultado, as organizações enfrentam uma lacuna cada vez maior entre a identificação de vulnerabilidades e sua correção efetiva.
P: O que significa “resiliência” no contexto dos sistemas de IA?
R: A resiliência vai além da restauração de dados — envolve a recuperação de todo um sistema de IA para um estado coerente e confiável. Isso inclui modelos, pipelines de treinamento, bancos de dados vetoriais e controles de acesso, todos devidamente alinhados.
P: Por que a recuperação está se tornando mais importante do que a prevenção?
R: À medida que os prazos para a prevenção se reduzem devido à exploração cada vez mais rápida, está se tornando irrealista aplicar todas as correções a tempo. Isso muda o foco para a rapidez com que as organizações conseguem detectar, conter e se recuperar de incidentes.
P: Como as organizações podem começar a se preparar?
R: As organizações podem submeter seus processos de gerenciamento de vulnerabilidades a testes de estresse, modernizar a infraestrutura de resiliência e validar os recursos de recuperação. Agir nessa janela inicial proporciona uma vantagem estratégica significativa.
Tim Zonca é vice-presidente de gestão de portfólio da Commvault.
