Um modelo de IA encontrou mais de 10.000 vulnerabilidades de alta ou crítica gravidade em software essencial em aproximadamente 30 dias. Alguns desses bugs estavam escondidos à vista de quase três décadas.
O Project Glasswing, lançado pela Anthropic em 7 de abril de 2026, utiliza um modelo de IA ainda não lançado chamado Claude Mythos Preview para varrer automaticamente bases de código em busca de falhas de segurança.
Bugs que sobreviveram aos seus criadores
Entre as milhares de vulnerabilidades descobertas, duas se destacam pela pura absurda escala. A IA encontrou uma vulnerabilidade de travamento remoto com 27 anos no OpenBSD, um sistema operacional literalmente construído em torno da segurança como filosofia central. Ela também sinalizou uma falha de 16 anos no FFmpeg, o framework multimídia amplamente utilizado, que havia conseguido escapar da detecção por mais de cinco milhões de testes automatizados.
O projeto também não apenas encontrou bugs antigos. Milhares de vulnerabilidades zero-day previamente desconhecidas foram identificadas em todos os principais sistemas operacionais e navegadores web.
A Cloudflare, um dos parceiros do projeto, ofereceu uma visão concreta dos números provenientes de sua colaboração interna. A empresa relatou aproximadamente 2.000 bugs detectados por meio da parceria, dos quais 400 foram classificados como de gravidade alta ou crítica. A taxa de falsos positivos foi significativamente menor do que os métodos tradicionais de detecção.
Até agora, apenas uma vulnerabilidade foi divulgada publicamente com um identificador CVE formal: CVE-2026-4747.
O consórcio atrás das cenas
Os parceiros principais do consórcio incluem AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, NVIDIA, Palo Alto Networks, Broadcom, a Linux Foundation e a JPMorgan Chase. O IBM juntou-se ao grupo em 19 de maio de 2026.
A Anthropic alocou até US$ 100 milhões em créditos de computação para o projeto, além de US$ 4 milhões em bolsas direcionadas a grupos de segurança de código aberto. O objetivo declarado é defensivo: encontrar as vulnerabilidades antes que ferramentas ofensivas baseadas em IA o façam.