Payward, empresa controladora da exchange de criptomoedas Kraken, juntou-se ao Projeto Glasswing da Anthropic em 17 de agosto e obteve acesso restrito ao Claude Mythos 5 para trabalho defensivo de segurança cibernética.
Resumo
- Payward juntou-se ao Projeto Glasswing da Anthropic e obteve acesso restrito ao modelo Claude Mythos 5.
- A empresa planeja escanear todos os ambientes da Payward em busca de vulnerabilidades de software nas próximas semanas.
- Payward afirma que descobertas validadas por terceiros serão compartilhadas com os mantenedores relevantes de projetos de código aberto.
- A Anthropic limita o acesso ao Mythos 5 a organizações avaliadas porque suas capacidades de segurança cibernética apresentam riscos de uso indevido.
- O uso do Mythos 5 exige que os clientes aceitem retenção de dados por trinta dias para monitoramento de segurança da Anthropic.
A empresa planeja usar o modelo de inteligência artificial para escanear seus ambientes de software em busca de vulnerabilidades nas próximas semanas. As descobertas entrarão no processo de revisão de segurança existente da Payward, em vez de produzir automaticamente alterações de software.
A Payward também disse que pretende divulgar vulnerabilidades validadas que afetam projetos de código aberto de terceiros aos seus mantenedores. A empresa não identificou seus primeiros alvos de escaneamento, publicou um cronograma de implantação ou divulgou o custo de seu acesso ao Mythos 5.
Payward escaneará seus ambientes de software
A Payward disse que o Claude Mythos 5 examinará todos os ambientes da empresa em busca de fraquezas de software. Sua infraestrutura suporta serviços de negociação, custódia e liquidação de ativos digitais que permanecem disponíveis continuamente.
O anúncio não especifica se o Mythos 5 terá acesso a sistemas de produção, cópias isoladas de código-fonte ou ambientes de teste controlados. A Payward também não descreveu como sua equipe de segurança validará as descobertas antes de aprovar correções.
Falsos positivos continuam sendo uma preocupação prática quando sistemas de inteligência artificial revisam software complexo. Um modelo pode identificar código inacessível, duplicar um relatório existente ou entender mal como um componente opera em produção. Portanto, a revisão humana é necessária antes que as equipes classifiquem um problema como vulnerabilidade.
A Fundação Ethereum chegou a uma conclusão semelhante ao testar agentes de segurança de IA. Como o crypto.news relatou, seus pesquisadores descobriram que relatórios de vulnerabilidade gerados por IA ainda exigiam validação humana independente, particularmente quando agentes examinavam código de protocolo complexo.
O co-CEO da Payward, Arjun Sethi, disse que a IA poderia mudar o desequilíbrio entre atacantes e defensores ao ler código em maior escala.
"Um modelo pode ler cada linha de código como um atacante faria, em escala de máquina, então encontramos a falha antes que alguém possa construir o exploit", disse Sethi.
A declaração descreve a vantagem defensiva pretendida da Payward. A empresa ainda não publicou resultados mostrando quantas falhas válidas o Mythos 5 encontrou em seus sistemas.
Projeto Glasswing restringe acesso a parceiros avaliados
Anthropic lançou o Projeto Glasswing em abril de 2026 para dar a provedores de infraestrutura e mantenedores de software selecionados acesso antecipado aos seus modelos de segurança cibernética mais fortes.
Os participantes iniciais incluíram Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks e a Linux Foundation. A Anthropic posteriormente expandiu a iniciativa para aproximadamente 150 organizações em mais de 15 países.
A empresa afirma que as organizações participantes devem atender aos requisitos de segurança antes de receberem acesso. O Mythos 5 não está disponível de forma geral porque as mesmas capacidades usadas para identificar vulnerabilidades também podem ajudar a produzir explorações funcionais.
Como relatado anteriormente, a Anthropic restaurou o acesso ao Mythos apenas para organizações dos EUA verificadas depois que o governo dos EUA suspendeu as restrições temporárias de exportação. O modelo protegido Claude Fable 5 voltou a ficar disponível de forma mais ampla.
A Payward disse que seu acesso seguiu a decisão dos EUA que permite que o Mythos 5 alcance organizações que operam e defendem infraestruturas críticas. A página oficial do modelo da Anthropic confirma que o acesso foi restaurado para um conjunto de organizações dos EUA após aprovação do governo.
Nem a Anthropic nem o governo dos EUA designaram publicamente todas as plataformas de ativos digitais como infraestrutura crítica. A declaração da Payward de que tais plataformas "pertencem a essa lista" representa a posição da empresa, e não uma classificação formal do governo.
Claude Mythos 5 carrega riscos defensivos e ofensivos
A Anthropic descreve o Claude Mythos 5 como seu modelo mais capaz para pesquisa em segurança cibernética e biologia. O modelo pode inspecionar código, identificar fraquezas, sugerir correções e auxiliar pesquisadores aprovados a testar caminhos de exploração.
O Mythos Preview anterior do Projeto Glasswing supostamente encontrou mais de 10.000 falhas classificadas como de alta ou crítica gravidade em software amplamente utilizado. O painel de divulgação coordenada da Anthropic mostrou 1.596 vulnerabilidades relatadas em 281 projetos de código aberto em 22 de maio.
Esses números são medições da Anthropic e não significam que todas as descobertas iniciais do modelo eram válidas. Seu painel registrou uma taxa de verdadeiros positivos de 90,8% entre 1.900 candidatos revisados por empresas de segurança externas.
A Anthropic disse que a triagem humana independente continua sendo a etapa limitante. Apenas 97 descobertas listadas foram corrigidas upstream no momento da atualização do painel, enquanto 88 receberam um identificador público de aviso.
O modelo também pode criar componentes de exploração e combiná-los em cadeias de ataque. A Anthropic citou essa capacidade de uso duplo ao explicar por que o Mythos 5 permanece limitado a parceiros aprovados.
Em cobertura relacionada, pesquisadores descobriram que modelos da classe Mythos poderiam transformar falhas de software em cadeias de exploração funcionais. O acesso mais amplo, portanto, daria aos atacantes algumas das mesmas capacidades disponíveis para os defensores.
Descobertas de código aberto irão para os mantenedores
A Payward disse que vulnerabilidades descobertas em código de terceiros compartilhado serão enviadas aos mantenedores relevantes do projeto. Ela apresentou esse processo como uma forma de proteger outras organizações que usam o mesmo software.
A empresa não publicou uma política de divulgação coordenada para a iniciativa. Detalhes importantes não respondidos incluem quanto tempo os mantenedores terão para corrigir falhas, quais descobertas a Payward pode divulgar publicamente e como ela lidará com projetos que não responderem.
A Payward já enfrentou disputas anteriores sobre pesquisa de segurança. Como o crypto.news relatou, a Kraken corrigiu uma falha de depósito que pesquisadores usaram para retirar quase US$ 3 milhões. A exchange posteriormente recuperou os fundos após um desacordo público com a CertiK.
Esse episódio não estava relacionado ao Projeto Glasswing, mas mostra por que regras claras de teste e divulgação são importantes. A varredura por IA pode aumentar o número de descobertas relatadas, criando trabalho adicional para equipes de segurança e mantenedores.
O que acontece a seguir para a implantação de segurança de IA da Payward
A Payward planeja começar a escanear seus ambientes dentro de semanas. As próximas atualizações verificáveis incluiriam vulnerabilidades confirmadas, correções concluídas ou divulgações públicas coordenadas com projetos de código aberto afetados.
Nenhuma meta de desempenho foi anunciada. A Payward não disse com que frequência o Mythos 5 escaneará seus sistemas ou se o modelo revisará novo código antes da implantação.
A Anthropic exige que os clientes do Mythos 5 aceitem a retenção de dados por trinta dias para monitoramento de segurança. A Payward não explicou qual código ou informações do sistema serão submetidos, como os dados sensíveis serão separados ou se as informações do cliente ficam fora do processo de varredura.
Por enquanto, o desenvolvimento confirmado é a admissão da Payward ao Projeto Glasswing e o uso planejado do Claude Mythos 5. Se o modelo melhora a segurança da empresa dependerá da qualidade de suas descobertas, da verificação humana e da velocidade dos patches subsequentes.
