Firefox lança 271 correções na versão 150 via Claude Mythos

A Mozilla disponibilizou 423 correções de falhas de segurança do Firefox em abril de 2026, equivalendo aproximadamente ao total dos 14 meses anteriores combinados, após obter acesso ao Claude Mythos Preview da Anthropic. Só o lançamento da versão 150 trouxe 271 correções — 180 classificadas como sec-high, 80 sec-moderate e 11 sec-low — com patches adicionais distribuídos pelas versões 149.0.2, 150.0.1 e 150.0.2. Entre as amostras divulgadas: um problema de reentrância em XSLT com 20 anos (Bug 2025977), no qual chamadas key() podiam libertar o armazenamento de suporte e deixar um ponteiro bruto em uso, uma falha de 15 anos no elemento HTML (Bug 2024437), um bug de GC em WebAssembly que podia gerar uma primitiva de objeto falso para leitura ou escrita arbitrária, condições de corrida em IPC que afetavam as contagens de referência no processo pai, uma desserialização de NaN bruto através de uma fronteira IPC, e fuga de memória da stack do processo pai durante a análise de DNS.

Porque importa

O Firefox é um dos navegadores mais auditados que existem, analisado durante duas décadas por equipas internas, investigadores externos, fuzzers e caçadores de bugs via programas de recompensas. O facto de um defeito em XSLT com 20 anos ter sobrevivido a esse escrutínio é o mais forte indicador isolado de quanto tempo falhas com potencial de exploração podem persistir em bases de código maduras — e de como o custo da descoberta mudou. A Mozilla atribuiu a produtividade ao Claude Mythos Preview, mas sublinhou que o modelo foi apenas metade do resultado. A outra metade foi uma infraestrutura que a empresa construiu para direcionar o modelo para áreas específicas do código, gerar casos de teste reprodutíveis, filtrar ruído, deduplicar descobertas, triar a severidade e encaminhar bugs confirmados para o ciclo de vida de segurança. Mais de 100 pessoas contribuíram com código para o esforço de reforço. Sem essa estrutura operacional, o output do modelo teria colapsado sob o seu próprio volume — o mesmo fardo de ruído que tornou os relatórios de segurança gerados por IA anteriores impraticáveis para os maintainers de open source.

Impacto no mercado

A assimetria é a verdadeira história. Um agente hostil com ferramentas ao nível do Mythos antes do esforço de abril da Mozilla teria tido uma superfície de pesquisa mais ampla, geração mais rápida de provas de conceito e um inventário mais profundo de primitivas encadeáveis — incluindo candidatos a fuga de sandbox que exigem precisão em vez de escala. Para a stack cripto, a implicação é direta. Os navegadores situam-se entre os utilizadores e as exchanges, wallets, bridges, painéis de custódia, portais de governança e consolas de administração; um compromisso ao nível do navegador contra um utilizador visado pode sequestrar sessões, manipular detalhes de transações antes da assinatura, injetar prompts de wallet, ou pivotar da máquina de um programador para a infraestrutura operacional.