TuLongFeng vs. Mythos: A Nova Ferramenta de IA para Vulnerabilidades em Destaque na Segurança Cibernética
TuLongFeng, ferramenta chinesa de IA para descoberta de vulnerabilidades, exige validação independente e transparência para competir com Mythos, dos EUA.
TuLongFeng, ferramenta chinesa de IA para descoberta de vulnerabilidades, exige validação independente e transparência para competir com Mythos, dos EUA.
O que é TuLongFeng e a comparação com Mythos
Em junho de 2026, a 360 Security Technology, empresa chinesa também conhecida como Qihoo 360, lançou o TuLongFeng, uma ferramenta de inteligência artificial (IA) destinada a identificar vulnerabilidades em software. Desde o lançamento, a mídia ocidental tem comparado o TuLongFeng ao Mythos, solução desenvolvida pela Anthropic nos Estados Unidos. No entanto, especialistas alertam que a comparação correta não deve se basear apenas nas capacidades técnicas, mas sim na comprovação independente dos resultados que cada sistema apresenta.
Diferentemente do Mythos, que passou por avaliações independentes e teve seu índice de falsos positivos amplamente monitorado, o TuLongFeng ainda não foi testado por organismos externos reconhecidos. Além disso, a 360 Security Technology associou ao TuLongFeng um sistema de defesa automatizado chamado Yitianzhen, que também não foi avaliado de forma independente, tornando difícil mensurar a efetividade real do conjunto.
Características técnicas e limitações de TuLongFeng
O TuLongFeng não é um único modelo avançado, mas sim um 'enxame' composto por múltiplos agentes de IA menores, que utilizam dados coletados pela empresa ao longo de vinte anos, abrangendo registros de vulnerabilidades e telemetria de exploits que somam cerca de 250 mil eventos. Essa estrutura foi criada para compensar certas limitações técnicas apontadas pelo fundador Zhou Hongyi, que admitiu que o sistema ainda possui uma defasagem de 20 a 30% em relação a modelos de ponta dos EUA.
Em termos de aplicação, TuLongFeng utiliza agentes dedicados para testes de segurança estáticos (SAST), que analisam o código buscando entradas potencialmente perigosas, e dinâmicos (DAST), que aplicam códigos exploratórios em ambientes isolados. Contudo, o sistema não realiza análises de composição de software, uma prática importante para identificar vulnerabilidades em dependências de terceiros. Essa lacuna torna a ferramenta complementar, mas não substituta para plataformas tradicionais usadas para esse fim.
Desafios na validação e transparência dos dados
Uma das principais preocupações no uso do TuLongFeng está relacionada à ausência de avaliações externas que comprovem a taxa exata de falsos positivos versus verdadeiros. A 360 Security Technology afirma ter identificado milhares de vulnerabilidades, com centenas confirmadas pelo Banco Nacional de Vulnerabilidades da China, mas essa validação oficial não equivale a uma análise crítica independente.
Casos passados envolvendo a 360 suscitam cautela, pois a empresa teve certificações revogadas em 2015 por relatórios inconsistentes, e em 2026 uma vulnerabilidade do kernel do Windows inicialmente atribuída ao TuLongFeng foi creditada a pesquisadores de Taiwan e Coreia do Sul. Assim, especialistas apontam que a qualidade da informação e a transparência do processo são questões cruciais a serem esclarecidas.
Implicações legais e estratégicas para o mercado ocidental
O uso do TuLongFeng por empresas ocidentais é, atualmente, uma decisão complexa. A ferramenta funciona como um serviço fechado, sem disponibilização do código ou modelos para uso local, o que dificulta o controle sobre os dados e a privacidade das informações processadas. Além disso, por ser uma empresa listada na Entidade dos EUA desde 2020 e classificada como empresa militar chinesa pelo Pentágono, seu uso enfrenta barreiras regulatórias.
De acordo com as leis chinesas, qualquer vulnerabilidade identificada deve ser reportada ao Ministério da Indústria e Tecnologia da Informação do país dentro de 48 horas, antes mesmo que os desenvolvedores originais sejam notificados. Isso implica que o governo chinês teria acesso imediato a informações sensíveis que podem ser usadas para fortalecer defensivamente seus sistemas ou, eventualmente, explorar ofensivamente as fragilidades antes da divulgação pública.
Recomendações para o mercado e caminhos futuros
Especialistas recomendam cautela a quem analisa a adoção do TuLongFeng ou de soluções similares. É fundamental exigir do fornecedor clareza sobre o tipo de análise realizada (descoberta de vulnerabilidades inéditas versus analises de composição), taxas independentes comprovadas de acerto e a cadeia de reporte das descobertas, incluindo obrigações legais vinculantes.
Além disso, as organizações devem assegurar recursos adequados para corrigir as vulnerabilidades que forem encontradas. Descobrir problemas sem capacidade efetiva de remediação pode transformar um ativo de segurança em uma dívida operacional que consome tempo e recursos, sem ganhos efetivos em proteção. A evolução da IA na segurança promete acelerar, mas a integração consciente e responsável ainda demanda processos sólidos e transparência.
Informações editoriais
Fonte: Cybersecurity Insiders
Tiago Oliveira
Responsável pela curadoria editorial da TECSOCIETY, com foco em tecnologia, inteligência artificial, segurança digital, automação e games para leitores brasileiros.
Ver perfil editorial