Em 9 de novembro de 2026, a Anthropic apresentou o Claude Fable 5.2 e o Claude Mythos 5.2, seus novos modelos de inteligência artificial desenvolvidos para lidar com tarefas técnicas complexas, desde engenharia de software até pesquisa científica e cibersegurança.
A empresa anunciou melhorias em programação, raciocínio e compreensão visual, além de uma velocidade de geração de respostas até 30% superior à das versões 5.1.
Mas há um detalhe do lançamento que merece atenção especial: Fable 5.2 e Mythos 5.2 compartilham o mesmo modelo subjacente, embora nem todos os usuários tenham acesso às mesmas capacidades.
Enquanto o Fable está disponível comercialmente, o acesso às capacidades avançadas de cibersegurança do Mythos está sujeito à verificação. Essa decisão reflete um desafio cada vez mais relevante para o setor: como aproveitar modelos capazes de realizar pesquisas técnicas avançadas sem facilitar também seu uso malicioso.
Claude Fable 5.2 e Mythos 5.2: um mesmo modelo, diferentes condições de acesso
Segundo a Anthropic, ambos os modelos foram desenvolvidos para colaborar em projetos que exigem raciocínio complexo, programação e execução de tarefas técnicas de longa duração.
Durante os testes anteriores ao lançamento, a empresa relatou que seus modelos ajudaram a concluir migrações complexas de software, projetar dispositivos eletrônicos e resolver problemas avançados de pesquisa científica.
A Anthropic também apresentou melhorias de desempenho. Em sua avaliação interna CVE Rediscovery, que mede a capacidade de identificar vulnerabilidades conhecidas em versões de software anteriores às respectivas correções, o Mythos 5.2 encontrou 10,2% mais vulnerabilidades do que o Claude Opus 5.5 e 14,4% mais do que o Mythos 5.1.
A avaliação incluiu 1.829 vulnerabilidades documentadas e mostrou melhorias em diferentes níveis de esforço. No entanto, esses resultados vêm de testes internos da Anthropic e não devem ser interpretados como uma medida universal do desempenho do modelo em ambientes reais.
A diferença mais interessante entre Fable e Mythos, porém, vai além de suas capacidades técnicas.
Está nos controles que determinam quais tarefas podem executar e quem pode acessá-las.
O Fable 5.2 incorpora salvaguardas para restringir solicitações consideradas de alto risco em áreas como cibersegurança e biologia. Já o Mythos 5.2 permite acessar determinadas capacidades avançadas por meio de programas de verificação.
Profissionais e organizações de segurança podem solicitar acesso a essas capacidades pelo Cyber Verification Program da Anthropic.
Por que a Anthropic restringe as capacidades avançadas de cibersegurança?
A pesquisa de vulnerabilidades é um exemplo claro do caráter de uso dual da inteligência artificial.
As mesmas capacidades que permitem analisar código, identificar falhas ou desenvolver provas de conceito de exploração podem ser utilizadas tanto para fortalecer sistemas quanto para comprometê-los.
A diferença não está necessariamente na técnica, mas no contexto, na autorização e no objetivo de sua utilização.
Um modelo capaz de identificar uma vulnerabilidade complexa pode ajudar uma equipe de segurança a descobrir um risco antes que ele seja explorado. Mas essa mesma capacidade também pode reduzir as barreiras técnicas para agentes maliciosos.
À medida que os modelos melhoram em programação, raciocínio e uso de ferramentas, essa questão se torna ainda mais relevante.
Por isso, a Anthropic não optou por bloquear todas as capacidades avançadas de cibersegurança. Sua estratégia consiste em habilitar determinados usos por meio de programas de verificação, mantendo restrições para o acesso geral.
O Cyber Verification Program, ampliado em outubro de 2026, contempla três níveis de acesso:
- Defense Access: voltado a atividades defensivas, como resposta a incidentes, análise de malware e validação de vulnerabilidades.
- Red Team Access: permite realizar testes de penetração e exercícios de red teaming autorizados, mediante requisitos adicionais de verificação.
- Specialized Access: reservado a organizações verificadas que realizam testes de segurança em sistemas especialmente sensíveis, incluindo infraestruturas críticas.
Cada nível estabelece diferentes requisitos e controles de segurança de acordo com o tipo de pesquisa realizada.
Essa abordagem busca apoiar as equipes de defesa sem disponibilizar indiscriminadamente capacidades que poderiam ser utilizadas para fins maliciosos.
E levanta uma questão importante: o acesso a modelos avançados de IA está se tornando parte da própria estratégia de segurança de seus desenvolvedores.
Da descoberta de vulnerabilidades à análise de sua explorabilidade
A evolução desses modelos tem implicações que vão muito além da geração de código.
Na cibersegurança, uma das aplicações mais promissoras é acelerar tarefas que tradicionalmente exigem um trabalho intenso de pesquisa: analisar componentes de software, identificar comportamentos inesperados, formular hipóteses sobre possíveis vulnerabilidades e desenvolver testes para verificá-las.
Os avanços da Anthropic nessa área não começaram com o Mythos 5.2.
Por meio do Project Glasswing e do Cyber Verification Program, a empresa já vinha trabalhando com organizações externas para explorar como modelos avançados de IA poderiam contribuir para a descoberta e análise de vulnerabilidades.
Segundo os resultados publicados pela Anthropic, os participantes do Project Glasswing identificaram pelo menos 129 mil vulnerabilidades de software verificadas entre abril e julho de 2026, utilizando modelos da família Mythos.
É importante destacar que esses resultados correspondem a iniciativas anteriores e não devem ser atribuídos exclusivamente ao novo Mythos 5.2.
O lançamento atual dá continuidade a essa linha de pesquisa, combinando melhorias nas capacidades gerais do modelo com condições diferenciadas de acesso.
No entanto, existe uma diferença importante entre descobrir uma possível vulnerabilidade e demonstrar seu impacto.
Um achado gerado por IA pode exigir validação adicional para determinar se é explorável, em quais condições a exploração seria possível e quais consequências poderia ter em um ambiente real.
Também é fundamental distinguir os resultados obtidos em avaliações controladas do desempenho de um modelo em sistemas de produção, nos quais configurações específicas, controles de segurança e dependências podem influenciar os resultados.
O fato de a IA conseguir pesquisar mais rapidamente não significa que todos os achados tenham o mesmo impacto ou possam ser explorados em qualquer ambiente.
O que muda para as equipes de segurança?
Modelos de IA mais capazes podem ampliar a quantidade de pesquisas e testes de segurança que as equipes conseguem realizar em determinado período.
Mas também trazem novos desafios.
O primeiro é a validação. À medida que aumenta a capacidade de identificar possíveis vulnerabilidades, torna-se ainda mais importante comprovar quais achados representam riscos reais e quais exigem investigação adicional.
O segundo é a priorização. Uma organização pode receber inúmeros achados, mas seus recursos para remediação continuam limitados. A severidade técnica, a explorabilidade e a criticidade dos ativos devem ser consideradas em conjunto para definir o que corrigir primeiro.
O terceiro é a supervisão. A automação pode acelerar tarefas de pesquisa e testing, mas avaliações ofensivas em sistemas reais exigem autorização, limites operacionais e mecanismos adequados de controle.
Nesse contexto, a experiência humana continua sendo fundamental para interpretar resultados, avaliar cenários complexos e tomar decisões sobre o escopo e as possíveis consequências de um teste.
Para as organizações, o desafio não é simplesmente adotar ferramentas de IA mais poderosas, mas integrá-las a processos de segurança capazes de transformar seus resultados em ações concretas.
A segurança ofensiva entra em uma nova fase
O lançamento do Claude Mythos 5.2 reflete uma tendência que está transformando a pesquisa em cibersegurança: os modelos de IA estão desenvolvendo capacidades cada vez mais avançadas para analisar software e resolver problemas técnicos complexos.
Ao mesmo tempo, a Anthropic reconhece que essas capacidades exigem condições de acesso diferentes das aplicadas a ferramentas de uso geral.
Isso abre um debate que provavelmente continuará crescendo: como garantir que pesquisadores e equipes de segurança possam aproveitar os avanços da IA sem ampliar desnecessariamente as oportunidades de uso indevido?
Para as organizações, há uma consequência prática.
À medida que a descoberta de vulnerabilidades se acelera, aumenta também a importância de contar com processos capazes de validar achados, avaliar seu impacto e corrigi-los em tempo hábil.
A próxima fase da segurança ofensiva não dependerá apenas do quanto a IA consegue descobrir, mas de quão eficazmente podemos transformar essas descobertas em melhorias reais de segurança.
Fontes e leituras complementares
- Anthropic — Introducing Claude Fable 5.2 and Claude Mythos 5.2
- Anthropic — Expanding the Cyber Verification Program
- Anthropic — Claude Mythos: modelos, disponibilidade e programas de acesso
