Anthropic une Accenture, Deloitte e PwC para defender redes de OT

A Anthropic lançou na quinta-feira (8) o Anthropic Cyber Mission, iniciativa de longo prazo que começa com dois programas: um voltado à tecnologia operacional (OT) que controla redes elétricas, saneamento e transporte, e um serviço gratuito de varredura de vulnerabilidades em software de código aberto. O primeiro, batizado de Critical Infrastructure Defense Program (CIDP), estreia com 11 parceiros fundadores: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC e Rockwell Automation.

O pacote inclui acesso aos modelos de fronteira do Claude, engenheiros da Anthropic alocados em campo e a pesquisa de ameaças da empresa. O alvo declarado são os fornecedores que defendem OT, não as concessionárias diretamente.

Por que OT virou a prioridade

A justificativa está no próprio texto do anúncio: controladores e redes industriais são feitos para durar décadas e muitas vezes não podem ser desligados para receber correção. Vulnerabilidades conhecidas ficam abertas por anos, e um patch mal aplicado pode parar uma planta.

Os parceiros reforçaram o tom. "A tecnologia operacional é a próxima fronteira para ataques autônomos habilitados por IA", disse Andrew Turner, da Booz Allen. Daniel Bernard, da CrowdStrike, resumiu a tese comercial: infraestrutura crítica que enfrenta ameaças em velocidade de máquina exige defesa em velocidade de máquina. Dan Gunter, CEO da Insane Cyber, apontou o gargalo operacional, o volume de dados espalhado por subestações remotas, plataformas offshore e plantas isoladas da rede, e disse que "o Claude fecha essa lacuna".

O anúncio traz uma admissão rara para um lançamento. Sobre o Project Glasswing, programa anterior de descoberta de falhas com parceiros, a Anthropic escreve que "ainda não alcançamos uma redução suficiente do risco cibernético". O Glasswing foi incorporado ao Cyber Verification Program, que amplia o acesso de defensores aos modelos mais capazes da empresa. A Anthropic também diz já ter oferecido modelos e suporte técnico a mais da metade dos estados americanos, num programa para governos locais lançado em junho.

Os números do scanner aberto

O segundo braço, o OSS Scanner, oferece varreduras periódicas e gratuitas a projetos de código aberto que se inscreverem. Segundo a Anthropic, seus modelos encontraram mais de 29 mil vulnerabilidades candidatas em grandes projetos nos últimos seis meses. Cerca de 6 mil passaram por triagem manual e quase 5 mil relatórios foram enviados a mantenedores.

A diferença agora é que os relatórios chegam sem revisão humana. A empresa estima taxa de verdadeiros positivos acima de 90% e cita uma amostra: especialistas checaram 97 achados críticos e de alta severidade em 48 projetos, e 85 deles (88%) atingiram o padrão de divulgação coordenada. Dos 12 restantes, 11 eram reais mas duplicados ou já conhecidos, e um era falso positivo. Todd Ouska, da wolfSSL, relatou que, de 74 relatórios recebidos, todos menos dois eram válidos e cinco viraram CVEs.

A própria Anthropic reconhece que relatórios gerados por modelo podem trazer erros, como severidade mal calibrada, e restringe o serviço a projetos com estrutura para absorver o volume. Os demais seguem recebendo divulgações verificadas por humanos.

O que muda para consultorias e operadores

A lista de parceiros diz mais do que o programa. Accenture, Deloitte e PwC entram como integradoras: são elas que vendem projetos de OT em energia, saneamento e manufatura, e passam a ter na prateleira um modelo de fronteira com engenheiros do fabricante em campo. Harpreet Sidhu, da Accenture, defendeu levar defesa baseada em IA às organizações que mantêm energia, medicamentos, alimentos e comunicações funcionando. Para um CISO de concessionária, a consequência prática é que a próxima proposta de segurança de OT tende a vir com IA embutida no escopo e no preço.

Nos Estados Unidos, onde estão Booz Allen, Dragos e Rockwell, o programa encaixa num mercado em que governo e operadores privados já compram juntos. No Japão, a entrada da Hitachi pesa por outro motivo. Hiroaki Koiwa, da empresa, disse que a resiliência cibernética da OT que sustenta a infraestrutura social é prioridade máxima. A declaração chega na mesma semana em que um ataque de ransomware à nuvem da IDC Frontier, subsidiária da SoftBank, afetou 495 empresas e governos locais japoneses, segundo a operadora, entre eles a província de Ibaraki, cujo site saiu do ar.

O incidente japonês ocorreu numa nuvem corporativa, não em OT, mas expõe o mesmo ponto fraco que a Anthropic diz querer atacar: infraestrutura compartilhada da qual centenas de organizações dependem sem plano próprio de recuperação. A Anthropic não informou valores do programa nem prazo para ampliar a lista de parceiros, e a eficácia do CIDP só vai aparecer quando o primeiro operador publicar quanto tempo levou para fechar uma falha que antes ficava aberta por anos.