BSI alerta para nova tecnologia de IA de detecção de vulnerabilidades
O Serviço Federal de Segurança da Tecnologia da Informação (BSI) analisou intensivamente o novo modelo de IA „Mythos" da Anthropic e alerta para efeitos consideráveis no panorama de ciberameaças e na segurança nacional. A tecnologia marca um ponto de viragem significativo no panorama da cibersegurança, uma vez que detecta de forma automatizada vulnerabilidades de software ocultas em sistemas operativos e navegadores web de ampla utilização.
O que é o modelo de IA Mythos?
Mythos é um modelo de inteligência artificial desenvolvido pela empresa norte-americana Anthropic, especificamente concebido para detectar de forma automatizada vulnerabilidades de software ocultas. A empresa anunciou que já encontrou com esta ferramenta milhares de vulnerabilidades graves – entre elas em todos os sistemas operativos e navegadores web de ampla utilização. Estas descobertas sublinham a capacidade prática da tecnologia em ambiente real.
É particularmente digno de nota que a própria Anthropic alerte para o facto de tais capacidades em ferramentas de IA poderem, com o rápido progresso da inteligência artificial, ficar em breve também ao dispor de atacantes online. Isto torna o controlo e a disponibilidade limitada destas ferramentas uma questão central de segurança.
Acesso controlado através de parceiros de topo
A Anthropic planeia não disponibilizar o Mythos ao público em geral. Em vez disso, existe uma cooperação controlada com grandes empresas tecnológicas e especialistas de segurança seleccionados. A Apple, a Amazon e a Microsoft estão entre os parceiros de cooperação a quem é concedido acesso ao Mythos, para identificarem e corrigirem falhas de segurança no seu próprio software.
Além das grandes tecnológicas, estão envolvidos outros parceiros neste projecto: a Linux Foundation, as empresas de segurança informática Crowdstrike e Palo Alto Networks, bem como o especialista em redes Cisco. Esta selecção aponta para uma estratégia assente em actores estabelecidos e fiáveis do sector da segurança.
A perspectiva do BSI: a segurança nacional em foco
Reavaliação abrangente do panorama de vulnerabilidades
A presidente do BSI, Claudia Plattner, manifestou preocupação com as implicações de longo alcance da tecnologia. O BSI ainda não pôde testar a nova ferramenta, mas conseguiu obter, em conversa pessoal com os programadores, uma visão do seu funcionamento. A autoridade leva muito a sério os anúncios da Anthropic e espera „transformações no tratamento de falhas de segurança e no panorama de vulnerabilidades no seu conjunto".
Levando o raciocínio até ao fim, poderá deixar de haver, a médio prazo, vulnerabilidades clássicas de software desconhecidas. Isto implicaria uma alteração fundamental dos vectores de ataque e uma mudança de paradigma no panorama das ciberameaças. Os atacantes ver-se-iam obrigados a desenvolver novos métodos e a explorar outros pontos fracos.
Soberania e controlo estratégico
O BSI coloca ainda a questão de saber se, e em caso afirmativo por quanto tempo, ferramentas de tal poder estarão disponíveis no mercado livre ou sequer para outros países. Desta questão decorrem de imediato considerações sobre a segurança nacional e europeia, bem como sobre a soberania tecnológica. Quem detém o controlo sobre ferramentas de segurança tão poderosas possui também uma vantagem estratégica no panorama da cibersegurança.
O contexto crítico: porque são as vulnerabilidades tão perigosas
Portas de entrada para o cibercrime e a espionagem
As vulnerabilidades em software, hardware ou redes são portas de entrada para ciberataques por criminosos ou hackers ao serviço de serviços secretos estrangeiros. Quanto mais tempo uma vulnerabilidade for conhecida mas não corrigida, maior é o risco de empresas, entidades estatais e utilizadores privados serem vítimas de roubo de dados ou de extorsão após a instalação de software malicioso.
Particularmente críticas são as chamadas vulnerabilidades de dia zero, ainda desconhecidas dos fabricantes. Estas são muitas vezes usadas como primeiros alvos de ataque por cibercriminosos e serviços secretos, uma vez que empresas e autoridades ainda não podem tomar contramedidas.
Exemplo histórico: WannaCry e a falha da NSA
A história mostra as consequências dramáticas quando as vulnerabilidades não são corrigidas a tempo. Em 2017, hackers exploraram uma falha de segurança conhecida do serviço secreto norte-americano NSA para infectar em larga escala computadores com o software de extorsão WannaCry. Estes programas cifram o disco rígido e exigem dinheiro para a libertação dos dados. Na altura foram afectados, entre outros, hospitais britânicos e painéis informativos da Deutsche Bahn. A NSA foi criticada por não ter feito corrigir a falha de segurança, apesar de o perigo ser evidente.
Também os serviços de informações e investigadores alemães utilizam, no entanto, vulnerabilidades para determinados fins – por exemplo para desmantelar redes terroristas ou esclarecer crimes graves, ou ainda para prevenção de perigos. Isto ilustra a complexa ponderação entre segurança e determinadas competências de investigação.
Relevância prática para os responsáveis de segurança
Patching e actualizações regulares como prática crítica
Desta situação decorre de imediato, para empresas e operadores de infra-estruturas críticas: a instalação de actualizações de segurança e o patching sistemático têm de ter prioridade máxima. Com as modernas ferramentas de IA que detectam vulnerabilidades de forma automatizada, estas tornam-se conhecidas mais cedo e em maior número. As empresas têm de acelerar e optimizar os seus processos de actualização em conformidade.
Em especial para operadores de sistemas com elevada necessidade de protecção aplica-se o seguinte: uma análise proactiva de vulnerabilidades e auditorias de segurança regulares tornam-se ainda mais indispensáveis. Isto vale também para instalações de segurança especializadas que protegem activos críticos – por exemplo bancos que guardam numerário e títulos poderiam beneficiar de medidas de segurança adicionais, para estarem protegidos também contra ataques técnicos.
Perspectivas e implicações estratégicas
O desenvolvimento do Mythos pela Anthropic marca um novo marco na tecnologia de cibersegurança. Com o acesso controlado à tecnologia, a Anthropic tenta manter o equilíbrio entre inovação e segurança – um equilíbrio difícil de manter se capacidades semelhantes surgirem também noutros sistemas de IA.
O BSI continuará a acompanhar de perto a evolução e a manter o diálogo com a Anthropic. Ao mesmo tempo, as autoridades nacionais e europeias terão de se debruçar sobre a questão de como regular e controlar tecnologias estrategicamente tão importantes – no interesse da segurança e da soberania da Alemanha e da Europa.
Para empresas e organizações isto significa: o momento de se prepararem para os panoramas de ameaça modernos é agora. A detecção de vulnerabilidades assistida por IA vai tornar-se realidade – e quem hoje não estiver bem preparado ficará amanhã ainda mais sob pressão.
