O pesquisador de segurança da Anthropic soltou de graça o playbook de como você pode usar IA pra diminuir a superfície de ataque dos seus programas. E no meio de todos esses hacks que estamos vendo agora, isso é mais important do que nunca. Se você mantém um site, um aplicativo ou um sistema online, essa é a parte que fica mais exposta, porque um invasor chega até ela sem precisar de senha nenhuma. Em vez de caçar falha por falha, a ideia é deixar menos coisa aberta pra quem está de fora. Assim, até um erro que ninguém achou ainda fica mais difícil de alcançar. A Anthropic testou isso no OpenSSH, o programa que administradores usam pra acessar servidores pela internet e que ela chama de um dos códigos mais revisados do mundo. Pela conta da própria empresa, o trabalho cortou cerca de um quinto do código que alguém sem login conseguia alcançar com o programa do jeito que ele vem instalado. A Anthropic pôs o Claude pra procurar em três frentes e checar cada achado, e diz que a ideia geral tende a funcionar mesmo sem a ferramenta que ela montou. O passo a passo é este: 1 - Com o programa do jeito que ele vem instalado, procure código que alguém de fora consegue alcançar mas que nenhuma função normal do programa usa. 2 - Procure código complicado e sensível que roda antes de uma proteção como o login. 3 - Teste combinações de configurações. Duas opções podem parecer razoáveis sozinhas e, juntas, desligar uma proteção sem avisar. 4 - Confirme cada achado rodando o programa de verdade, e não só lendo o código. 5 - Depois de cada bloqueio novo, rode os testes do próprio projeto e exija o mesmo resultado de antes. Se a mudança mexer numa configuração fora do padrão, deixe uma pessoa decidir. Nos testes da Anthropic, o Claude apontou 493 problemas em 25 projetos de código aberto, que somam mais de 5 milhões de linhas. No OpenSSH, eram cerca de 4.500 linhas de um recurso experimental que qualquer pessoa alcançava antes do login, do jeito que o programa vem instalado. A Anthropic avisou os responsáveis pelo OpenSSH e ajustou a correção com eles. Uma primeira parte saiu na versão 10.5, em agosto, e o resto na 10.6, em 6 de outubro. Comece pelo seu próprio programa, do jeito que ele vem instalado. Se isso estava no OpenSSH, imagina no código que ninguém revisa.