O número que importa e 231: vulnerabilidades classificadas como críticas ou importantes que o Claude Mythos Preview da Anthropic achou no SharePoint num único mês, 90 críticas e 141 importantes em abril, e, segundo a mesma reportagem, ainda mais na primeira quinzena de maio. Os números vem de uma investigação da ProPublica publicada em 29 de julho, construida sobre a gravação de uma reunião interna da Microsoft e documentos internos. O Mythos chegou ao código da Microsoft pelo Project Glasswing, o programa da Anthropic que da a certos defensores acesso antecipado a seus modelos, lançado em 7 de abril com ate US$ 100 milhões em créditos de uso.
A história mora na gravação da reunião. Dezenas de engenheiros da Microsoft, informados de que cerca de 50 deles teriam acesso ao Mythos, tambem ouviram por que o relógio importava: 31 de maio 'e considerado o dia em que o resto do mundo terá alcancado', ou seja, a data em que se espera que os modelos públicos igualem o Mythos na caça a bugs. Um engenheiro soletrou o que isso significa: 'Então você esta dizendo que se for lançado em 1o de junho, em 2 de junho os adversários terão nossos bugs?' A resposta na sala foi 'Exato.' A avaliação de um gerente de engenharia sobre os próprios bugs, segundo a gravação: 'Não são profundos nem exoticos, mas são reais. E muitos são exploráveis.' O plano do SharePoint era limpar primeiro os bugs criticos, os importantes ate agosto, depois cerca de 300 moderados; os documentos que a ProPublica revisou nem mencionavam bugs de baixa severidade.
Os totais são visíveis de fora. Desde que a Microsoft começou a usar o Mythos no inicio do ano, ele achou centenas de bugs classificados como criticos ou importantes no Microsoft 365, Teams e Copilot, e em meados de maio a maioria não tinha correção. O Patch Tuesday de junho trouxe correções para mais de 200 vulnerabilidades, então um recorde histórico; a versão de 14 de julho trouxe mais de 600, das quais so sete eram de severidade baixa ou moderada. Dustin Childs, da Zero Day Initiative (TrendAI), marcou o momento: 'O apocalipse dos bugs desabou sobre nos de vez.' No fim de junho, a aliança de inteligência Five Eyes emitiu um alerta conjunto incomum: a janela dos defensores se fecharia em meses.
As duas empresas escolheram suas palavras. A Microsoft, em declarações escritas, disse que faz triagem por explorabilidade e impacto no cliente, que a aceleração na mira de novas vulnerabilidades 'não e um fenômeno novo', que segurança 'e a prioridade mais importante da Microsoft' e que 'investiu pesado tanto em pessoas quanto em soluções de triagem com IA'; recusou-se a dizer quantos bugs achados pelo Mythos corrigiu. A Anthropic se recusou a comentar qualquer coisa. O número incômodo, então, não e 231. E a lacuna entre o ritmo em que um modelo ja consegue trazer a tona bugs exploráveis e o ritmo em que a maior vendedora de software do planeta consegue corrigi-los, porque depois de 1o de junho, segundo a própria reunião da Microsoft, esse ritmo pertence a todos. Vinh Nguyen, conselheiro técnico senior da Anthropic e ex-cientista-chefe de dados da NSA, formulou o erro de preço: falhas de baixo nível encadeadas podem equivaler a uma severidade alta, e 'a estrategia atual de triagem pode estar subprecificando riscos'.