Pico na Gravidade de CVE Após Lançamento do Mythos Preview do Claude — Dados da Epoch AI
A análise da Epoch AI sobre CVEs divulgados publicamente revela um aumento drástico em vulnerabilidades de alta e crítica gravidade após o anúncio do Claude Mythos Preview pela Anthropic em abril de 2026. Em junho de 2026, 21 organizações notáveis — incluindo Microsoft, Google, Apple, AWS, Oracle, Cisco e outras — divulgaram aproximadamente 1.500 CVEs de alta e crítica gravidade. Isso representa mais de 3,5 vezes o recorde mensal anterior estabelecido antes do lançamento do Mythos Preview.
Principais Descobertas
- Aumento de 3,5x em CVEs de alta/crítica em junho de 2026 em relação ao recorde mensal pré-Mythos.
- O Project Glasswing da Anthropic — cujos parceiros incluem Microsoft, Google, Apple e AWS — já descobriu mais de 10.000 vulnerabilidades de alta ou crítica gravidade, muitas ainda não divulgadas publicamente.
- A OpenAI tem um esforço similar chamado Daybreak.
- Os dados são extraídos do repositório público de CVEs, filtrados para 21 fornecedores respeitáveis para evitar ruído.
Método e Riscos
A Epoch filtrou dados do CVE.org para incluir apenas submissões de 21 organizações nomeadas (ex.: Microsoft, Google, Apple, Adobe, Oracle etc.). Isso evita capturar submissões de baixa qualidade de fornecedores menores. A métrica monitorada são CVEs divulgados — não encontrados mas não divulgados. A Anthropic afirma que o Glasswing sozinho já identificou mais de 10 mil, então os números divulgados podem ser uma fração do total de descobertas. O aumento também pode refletir, em parte, mais interesse de pesquisa, não apenas capacidade do modelo.
Impacto para Desenvolvedores
Se você mantém ou depende de software de grandes fornecedores, espere uma onda de patches de alta gravidade. Os dados sugerem que a descoberta de vulnerabilidades assistida por IA (tanto ética quanto adversarial) está acelerando o ciclo de descoberta a correção de zero-days. Mantenha seus scanners de dependências atualizados e priorize a correção de CVEs críticos dessas fontes.
📖 Leia a fonte completa: HN AI Agents
👀 See Also
Testando Modelos Qwen 3.5 35B Sem Censura para Perguntas de Cibersegurança
Um profissional de cibersegurança testou três modelos Qwen 3.5 35B sem censura em questões de hacking e bypass de segurança, encontrando diferenças significativas na qualidade das respostas em comparação com o modelo original censurado. Os modelos sem censura forneceram respostas consistentemente onde o modelo original se recusou ou deu respostas incompletas.
AppLovin Mediação Cipher Quebrada: Impressão Digital do Dispositivo Ignora ATT
A engenharia reversa revelou que a cifra personalizada da AppLovin usa um salt constante + chave SDK, um gerador pseudoaleatório SplitMix64 e nenhuma autenticação. Requisições descriptografadas carregam ~50 campos do dispositivo (modelo de hardware, tamanho da tela, localidade, tempo de inicialização, etc.) mesmo quando o ATT é negado, permitindo reidentificação determinística entre aplicativos.
Claude Code --perigosamente-ignorar-permissões vulnerabilidade e ferramenta de defesa de código aberto
A Lasso Security publicou uma pesquisa mostrando vulnerabilidades de injeção indireta de prompt no Claude Code ao usar a flag --dangerously-skip-permissions, com vetores de ataque incluindo arquivos README envenenados, conteúdo web malicioso e saídas de servidores MCP. Eles lançaram um hook PostToolUse de código aberto que verifica as saídas de ferramentas contra mais de 50 padrões de detecção.
Recurso de suporte de IA da Meta permite que qualquer pessoa sequestre contas do Instagram — Detalhes da exploração
Um recurso de suporte por IA testado A/B no Instagram permite que invasores redefinam senhas pedindo ao agente que envie um código para um e-mail arbitrário. Mais de 100 contas de alto valor foram sequestradas.