Mythos: Time to Rewrite the Entire Cybersecurity Model

‍

A prévia do Claude Mythos da Anthropic é o prego final no caixão de um modelo de cibersegurança já falido. Como se o anúncio inicial de que havia encontrado milhares de vulnerabilidades críticas de dia zero em todos os principais sistemas operacionais — e, portanto, era perigoso demais para ser divulgado publicamente — não fosse suficientemente revelador, agora foi divulgado que o modelo já vazou para usuários não autorizados. Nós, da área de segurança cibernética, sabíamos que, infelizmente, isso era apenas uma questão de tempo. E a necessidade de agir nunca foi tão urgente.

Todos devemos entender uma coisa: esta não é uma mudança gradual. Este é o fim do nosso modelo de cibersegurança, e estamos prestes a ser testados de maneiras que jamais imaginamos.  

A matemática cibernética nunca funcionou.

Para entender como esse avanço muda tudo, vamos olhar para o mundo anterior à entrada do termo "Mythos" em nosso vocabulário, há quatro semanas. Todos os sistemas operacionais, todos os softwares e todos os dispositivos de rede estão repletos de vulnerabilidades, e isso já acontece há décadas. A primeira pergunta que devemos fazer é: "Por que não temos mais violações de segurança?"

Na área de segurança cibernética, todos citam a mesma frase: o defensor precisa estar certo 100% das vezes, mas o atacante precisa estar certo apenas uma vez. Essas são probabilidades terríveis para os defensores, e esse sempre foi o "problema matemático" da segurança cibernética. No entanto, o que manteve os defensores na partida foi a velocidade limitada dos atacantes. Embora os atacantes tenham a vantagem matemática, a criação e a execução de brechas de segurança têm sido conduzidas por humanos em velocidade humana. Os cálculos podem estar errados, mas atacantes e defensores estavam travando uma luta relativamente justa. Isso terminou com Mythos.

O Mythos (e os modelos que virão) põem fim ao modelo atual de cibersegurança.

Encontrar vulnerabilidades e criar exploits em velocidade de máquina quebra tudo. Este é um modelo operacional de ataque completamente novo, e não temos um modelo de defesa baseado na velocidade da máquina. Quando os atacantes se movem na velocidade de uma máquina e os defensores na velocidade de um humano, nós não perdemos o jogo — é fim de jogo.  Aqui estão três exemplos simples:

• Remendos . A aplicação de patches em laptops e servidores geralmente leva dias, semanas ou meses. Às vezes isso simplesmente não acontece. Se tivermos sorte, fazemos os reparos em velocidade humana.  Mesmo que os modelos que encontram vulnerabilidades e criam exploits também criem correções, como podemos corrigir tudo na velocidade da máquina?
• processo. As empresas possuem processos extensos para testes e aquisição de produtos, que levam meses apenas para decidir o que comprar. Os atacantes não vão esperar meses ou anos para que as empresas implementem uma nova ferramenta.
• cadeia de mantimentos. Falamos sem parar sobre cadeias de suprimentos, mas o que realmente importa para nossos sonhos de IA é a energia, os data centers e as GPUs. E quanto aos equipamentos de rede e firewalls que conectam tudo? O que aconteceria se o mundo inteiro precisasse realizar a maior atualização de hardware da história para corrigir todas as falhas em nossa infraestrutura? Pense em termos de anos (ou décadas) com base nas restrições atuais.

Os atacantes na era da IA possuem uma vantagem assimétrica sem precedentes, diferente de tudo que já planejamos ou vimos antes. Uma estratégia de segurança que depende de atualizações ocasionais e de manter as ameaças fora do perímetro é uma receita para o desastre, e há muito pouco tempo para mudá-la.

Mythos é apenas a primeira demonstração de que a IA pode encontrar e explorar falhas mais rapidamente do que o mundo consegue corrigi-las. O Mythos, e os modelos que virão, finalmente tornaram impossível ignorar o óbvio: o modelo de segurança falho em que a maioria das organizações se baseia simplesmente não consegue nos proteger no mundo da IA.

A área cibernética tem uma nova missão.

A indústria de cibersegurança passou décadas promovendo, vendendo e otimizando a prevenção. A prevenção funciona, em alguns casos, e continuará a funcionar. Mas se funcionasse o tempo todo, as violações nunca ocorreriam.

Mythos demonstra que nenhuma vulnerabilidade é tão antiga, tão obscura ou tão profundamente enterrada que não possa permanecer oculta para sempre. Num mundo onde nada pode se esconder, tudo pode ser explorado — e eventualmente será. Toda organização deve partir do princípio da violação de segurança. Quando os exploits surgem imediatamente após a descoberta de vulnerabilidades, o risco para o sistema aumenta drasticamente. É aqui que a segurança cibernética finalmente ganha uma nova missão: resiliência.

A IA acelera a descoberta de informações por parte dos atacantes e a rapidez com que eles podem transformar essas informações em armas. Mas isso não altera o padrão fundamental de todo ataque bem-sucedido. O invasor consegue entrar, passa de um ponto de apoio inicial para algo muito mais importante, usando nossa própria infraestrutura e redes para isso. A rede que nos permite comunicar e operar é a mesma que permite ao atacante se esconder, movimentar-se e, eventualmente, comprometer os nossos dados mais valiosos.

Da mesma forma que o bug do milênio (Y2K) criou um movimento global e uma necessidade urgente de atualizar todos os sistemas, agora precisamos de um "Projeto Manhattan" para aumentar a resiliência cibernética. A observabilidade e a segmentação da rede nos permitirão encontrar, controlar e limitar o raio de impacto das violações. Resiliência é sinônimo de sobrevivência na era da IA.

Antes de Mythos, só ficávamos sabendo de novas ameaças depois de sermos atingidos. Mas agora temos uma janela para o futuro e não devemos desperdiçá-la. Precisamos reunir as melhores mentes da tecnologia, da segurança cibernética e do governo para elaborar um plano que proteja o mundo e incorpore a resiliência cibernética em tudo o que fazemos.

A estabilidade do nosso mundo, tal como o conhecemos, depende disso, e não podemos ir rápido o suficiente. Não vamos parar tudo, mas podemos sobreviver a qualquer coisa se começarmos agora.

Leia nosso Ficha informativa do Mythos Para aprender como a segmentação do Illumio contém movimento lateral, independentemente da falha que os atacantes explorem.