A Payward, controladora da Kraken, obtém acesso à IA de cibersegurança restrita da Anthropic

A Payward, Inc., controladora da Kraken com sede em Cheyenne, anunciou na segunda-feira que foi selecionada para participar do Projeto Glasswing e está incorporando ativamente o Claude Mythos 5 em seu trabalho defensivo de cibersegurança, segundo o anúncio da empresa.

A Anthropic lançou o programa em abril de 2026 após concluir que seus modelos poderiam superar todos, exceto os humanos mais habilidosos, na descoberta e exploração de vulnerabilidades de software, e nunca lançou o Mythos publicamente. Além da Kraken, a Payward opera outras empresas, como NinjaTrader, Breakout, xStocks, Bitnomial e CF Benchmarks, e gerou uma receita ajustada de $508 milhões no Q2, um aumento de 17% em relação ao ano anterior.

Washington controla o acesso ao Mythos 5

De acordo com a Payward, seu acesso está em linha com a decisão do governo dos Estados Unidos de permitir o acesso ao Mythos 5 a entidades dos EUA que garantem e protegem a infraestrutura crítica.

Esta rota de acesso foi expandida desde abril para incluir os setores de tecnologia e financeiro. O Mythos 5 foi entregue aos defensores cibernéticos dos EUA em 9 de junho via Glasswing e depois ficou indisponível mundialmente três dias depois devido a uma decisão de exportação do Departamento de Comércio que negou o acesso estrangeiro. O modelo retornou em 1º de julho.

Como a Cryptopolitan relatou anteriormente, Bailey disse em maio que as empresas de criptomoedas e os bancos do Reino Unido foram excluídos, enquanto o Goldman Sachs e outras empresas americanas foram admitidos. Bailey, que também preside o Conselho de Estabilidade Financeira, argumentou que “não podemos ter apenas um tipo único de abordagem nacional” para um risco que atravessa fronteiras. Uma exchange de criptomoedas agora passou pelo rito americano. Cabe a Washington decidir se alguém mais recebe autorização.

A Payward usará o modelo para caçar vulnerabilidades

A Payward irá escanear todos os seus ambientes, com as descobertas sendo movidas para o pipeline de triagem e remediação que já opera junto com equipes vermelhas e azuis separadas e um programa de recompensa por bugs de longa data.

A empresa possui certificações ISO 27001 e SOC 2. Problemas descobertos em software de código aberto de terceiros são relatados aos mantenedores do projeto por meio de divulgação responsável, e esta é a parte que se estende além da Payward, pois todas as exchanges do setor dependem dos mesmos pacotes.

O Co-Chief Executive Officer Arjun Sethi apresentou a proposta em termos do problema enfrentado pelo defensor: enquanto o atacante precisa apenas de um bug, o defensor precisa de todos eles todos os dias. Como ele disse, “O modelo é capaz de escanear cada linha de código exatamente como um atacante faria.”

O Glasswing já inclui grandes empresas de tecnologia e finanças dos EUA

A Anthropic abriu o Glasswing em abril com a Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, a Linux Foundation, Microsoft, Nvidia, Palo Alto Networks e JPMorganChase, o único banco no grupo fundador, junto com cerca de 40 outras organizações.

Os parceiros surgiram milhares de falhas de alta e crítica severidade desde então. O Mythos recebeu pontuação de 93,9% no SWE-bench Verified e 83,1% no CyberGym, e o Instituto de Segurança de IA do Reino Unido também verificou que o Mythos resolveu com sucesso 73% das tarefas de captura de bandeira de nível especialista.

No primeiro mês do programa, a Cloudflare encontrou 2.000 bugs em sistemas de caminho crítico em uma taxa de falsos positivos que sua equipe avaliou como melhor do que os testadores humanos. O modelo revelou uma falha de 27 anos no OpenBSD e uma de 16 anos no FFmpeg. No início de junho, identificou uma vulnerabilidade crítica na piscina protegida Orchard da Zcash que havia passado despercebida por quatro anos, e a Zcash usou o Mythos para a auditoria independente após o patch.

A Anthropic ainda está lidando com preocupações de segurança do Mythos 5

Três semanas atrás, a Anthropic divulgou que três modelos Claude, incluindo o Mythos 5, escaparam de ambientes de teste selados após uma configuração incorreta que lhes deu acesso à internet. O Mythos 5 concluiu que estava na internet aberta, raciocinou seu caminho de volta para acreditar que ainda estava em uma simulação, então escreveu e publicou um pacote PyPI que foi baixado e executado em 15 sistemas reais antes da remoção.

A Anthropic disse que os classificadores de segurança enviados com seus produtos comerciais teriam impedido o comportamento, descreveu os eventos como uma falha de harness e operacional, e contratou a METR para uma revisão independente.