SEGURANÇA

A tempestade Mythos (e o que vem com ela) acende alerta vermelho nos conselhos

Três em cada quatro empresas admitem que não conteriam um ciberataque significativo sem paralisar as operações. O risco agora é de continuidade do negócio

Por Soraia Yoshida 22/04/2026

Desde o dia 7 de abril, um vocábulo circula nas reuniões de diretoria, boards e de áreas de Segurança Cibernética: Mythos. É o nome do mais novo modelo de Inteligência Artificial da Anthropic, apresentado em uma prévia controlada e já batizado, por analistas de cibersegurança, como “a largada de uma nova era ofensiva”. Em testes internos, o Claude Mythos descobriu milhares de vulnerabilidades críticas de dia zero em praticamente todos os sistemas operacionais e navegadores em uso, gerou exploits funcionais sem supervisão humana, desenterrou um bug de 27 anos no OpenBSD e orquestrou cadeias de ataque autônomas a uma velocidade e escala nunca vistos anteriormente. Sua taxa de sucesso em exploração observada em laboratório ficou em 72%.

Acontece que a conversa andou. Alguns pesquisadores da Vidoc Security Lab conseguiram replicar as descobertas de vulnerabilidades do Claude Mythos utilizando modelos públicos de IA disponíveis no mercado, e não o stack privado da própria Anthropic. O experimento usou GPT-5.4 e Claude Opus 4.6 dentro de um agente de codificação open source chamado opencode, sem convite para o Projeto Glasswing (explicamos mais abaixo), sem acesso a APIs privadas e sem infraestrutura interna da Anthropic. Resumindo: o que parecia uma capacidade exclusiva de um laboratório já se mostra reprodutível com ferramentas acessíveis.

O cofundador da Vidoc, Dawid Moczadło, publicou um post afirmando que a forma correta de interpretar o lançamento do Mythos não é “um laboratório tem um modelo mágico”, mas sim que “a economia da descoberta de vulnerabilidades está mudando”. Em outras palavras, o custo e a barreira de entrada para encontrar falhas em código estão caindo rapidamente. Moczadło afirma que “o fosso está se movendo do acesso ao modelo para a validação: encontrar sinal de vulnerabilidade está ficando mais barato; transformá-lo em trabalho de segurança confiável ainda é difícil”. Ou seja, o gargalo competitivo já não é ter o modelo mais poderoso, e sim o processo de validar e operacionalizar descobertas.

CADASTRE-SE GRÁTIS PARA ACESSAR 5 CONTEÚDOS MENSAIS

Já recebe a newsletter? Ative seu acesso

Em seu relatório de segurança, a Anthropic estimava que capacidades comparáveis a do Mythos se espalhariam por outros laboratórios em 6 a 18 meses. Pelo que estamos vendo, muito mais cedo do que isso e de um jeito muito mais fácil.

Onde isso deixa as empresas que nem conseguiram digerir o fato de que a IA avança em uma velocidade que está difícil de acompanhar e que grupos de hackers já estão replicando essas técnicas em seus próximos ataques? Para entender melhor o cenário dessa transformação, mostramos a seguir de onde veio a onda, o nível de confiança “cyber-ready” das lideranças frente a potenciais ataques e o que as empresas devem considerar para sua estratégia.

A chegada do Mythos não é um incidente isolado

Em menos de duas semanas após o anúncio da Anthropic sobre o Mythos, o documento de estratégia “The ‘AI Vulnerability Storm’: Building a ‘Mythos-ready’ Security Program”, publicado pela Cloud Security Alliance (CSA) em parceria com o SANS Institute, o OWASP Gen AI Security Project e a comunidade [un]prompted, havia circulado em apresentações para boards de empresas da Fortune 500. O briefing, assinado por nomes como Heather Adkins (CISO do Google), Jen Easterly (CEO da RSAC e ex-diretora da CISA), Chris Inglis (ex-National Cyber Director da Casa Branca), Rob Joyce (ex-diretor de Cibersegurança da NSA) e Bruce Schneier, não tem tom sensacionalista. Seu recado é prosaico e, justamente por isso, assustador: “Não é possível, em velocidade humana, responder a ameaças em velocidade de máquina”. E o tempo disponível para reagir, diz o texto, “está encolhendo”.

Enquanto a indústria ainda digeria o Mythos, outro estudo caía sobre as mesas da alta liderança. A Sygnia, empresa israelense especializada em resposta a incidentes e confiável para grandes corporações da Fortune 500 e Global 2000, divulgou seu “CISO Survey 2026: The State of Incident Response Readiness”, baseado em entrevistas com 600 lideranças decisórias em segurança de TI. A conclusão é brutal: 73% dos CISOs admitem que suas organizações não estariam totalmente prontas para conter um ciberataque de proporções consideráveis sem sofrer uma interrupção nas operações. Em um cenário em que a janela entre a descoberta de uma vulnerabilidade e seu uso em campo caiu para horas, essa lacuna de preparo deixou de ser um problema de TI para virar um risco material de continuidade dos negócios.

A tempestade que a CSA pediu para as lideranças observarem

O ponto de partida do paper da CSA é direto: as suposições sobre como a IA afeta a pesquisa, a exploração e a orquestração autônoma de ataques cibernéticos já estão desatualizadas. Ao longo de 2025 e no início de 2026, diz o documento, “vimos exemplos contínuos do aumento dessas capacidades, em pesquisa e em ataques em campo”. A aceleração, segundo os autores, está acontecendo há mais de um ano. O que o Mythos faz é colocar isso no radar do alto escalão.

A linha do tempo descrita na publicação ajuda a mensurar a velocidade da transição. Em junho de 2025, o XBOW, sistema autônomo de segurança ofensiva, tornou-se o número 1 no ranking da HackerOne nos Estados Unidos, o primeiro sistema autônomo a superar todos os hackers humanos na plataforma. Em agosto, o Big Sleep, do Google, descobriu 20 zero-days em projetos de código aberto como FFmpeg e ImageMagick, cada um achado e reproduzido de forma autônoma. No mesmo mês, a final do DARPA AIxCC, na DEF CON 33, encontrou 54 vulnerabilidades em apenas quatro horas de computação, varrendo 54 milhões de linhas de código. Em setembro, Heather Adkins e Gadi Evron (CEO da Knostic) publicaram um alerta formal à indústria de que “os atacantes estavam correndo rumo a um momento de singularidade”, prevendo que a descoberta e exploração autônomas estariam a seis meses de distância. Acertaram, quase na data.

Em 14 de novembro de 2025, a Anthropic divulgou que havia interrompido a primeira campanha de espionagem cibernética orquestrada por IA documentada em larga escala. Um grupo de hackers que seria ligado ao governo chinês havia utilizado o próprio Claude Code para conduzir cadeias de ataque completas – reconhecimento, exploração, coleta de credenciais e exfiltração – contra cerca de 30 alvos globais, obtendo sucesso em um pequeno número deles. A análise da Anthropic apontou que a IA executou de 80% a 90% do trabalho tático de forma independente, com humanos agindo apenas em pontos estratégicos de supervisão. O sistema fez milhares de requisições por segundo, velocidade simplesmente inalcançável para uma equipe humana. Foi o primeiro sinal público de que a ofensiva cibernética autônoma havia saído da teoria e entrado em produção.

Em fevereiro de 2026, a Anthropic, usando o Claude Opus 4.6, reportou mais de 500 vulnerabilidades de alta severidade em software de código aberto; a AISLE encontrou 12 zero-days no OpenSSL, incluindo uma falha de CVSS 9.8 que datava de 1998. A Sysdig documentou um ataque com assistência de IA que atingiu acesso de nível administrador em oito minutos. Em março, os mantenedores do kernel Linux viram os reports de bugs subirem de 2 para 10 por semana. O projeto curl, que havia descontinuado seu programa de “bug bounty” por ser inundado por “slop” gerado por IA, passou a receber uma proporção crescente de reports de qualidade apoiados por IA.

A consequência dessa aceleração em cadeia aparece de forma sintética no gráfico do Zero Day Clock, de Sergej Epp, citado pelo paper da CSA: o tempo médio entre a divulgação de uma CVE e sua exploração confirmada (TTE, Time-to-Exploit) despencou de 2,3 anos em 2018 para cerca de 20 horas em 2026. A janela para patching reativo, sobre a qual foram construídos quase todos os programas corporativos de gestão de vulnerabilidades das últimas duas décadas, simplesmente deixou de existir.

O que Mythos muda e por que é diferente do que veio antes

O paper dedica uma seção a explicar por que Mythos representa, de fato, uma mudança de patamar, e não apenas mais um release incremental. Três características o separam das capacidades anteriores, segundo a CSA. A primeira é a geração de exploits sem scaffolding: em testes internos da Anthropic, o Claude Mythos gerou 181 exploits funcionais contra o Firefox, frente a apenas dois produzidos pelo Claude Opus 4.6 nas mesmas condições, portanto, um salto expressivo em autonomia e confiabilidade.

A segunda é a capacidade de identificar vulnerabilidades complexas e encadeadas, formadas por múltiplas primitivas combinadas em um único caminho de exploração (por exemplo, várias corrupções de memória costuradas para formar um exploit completo). A terceira é a competência “one-shot”: Mythos realiza, com um único prompt, aquilo que modelos anteriores só conseguiam com arquiteturas agênticas elaboradas.

A Anthropic reagiu à escala do que havia construído criando o Projeto Glasswing, descrito como possivelmente o maior esforço de coordenação de vulnerabilidades da história. Mais de 40 organizações foram convidadas a ter acesso antecipado ao Mythos para corrigir seus próprios produtos. Entre os 12 parceiros fundadores estão AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, Nvidia e Palo Alto Networks. A própria OpenAI anunciou, em paralelo, a expansão de seu programa Trusted Access.

Mas o ponto que a CSA reforça é que a superfície de ataque global é “imensamente maior” do que qualquer ecossistema de parceiros consegue cobrir. A maioria das organizações que constroem ou mantêm software considerados críticos não terá acesso antecipado a capacidades da classe Mythos. E se recursos ofensivos comparáveis emergirem em outros modelos nos próximos meses – e em modelos open source em seis meses a um ano – a vantagem defensiva conferida pelo acesso precoce expira, por definição, em um horizonte curtíssimo.

Oito recomendações que as lideranças não podem mais ignorar

O paper organiza sua orientação em oito pontos-chave para os CISOs, mas sua leitura é também um manual para quaisquer C-levels que não tenham necessariamente conhecimento técnico.

O primeiro ponto é adotar imediatamente capacidades de descoberta e remediação de vulnerabilidades baseadas em LLMs. Ao contrário das tecnologias defensivas de IA, que ainda estão atrasadas, as capacidades ofensivas baseadas em LLMs “já estão maduras” e podem ser usadas a favor da defesa. A sugestão concreta é pedir a um agente de codificação uma revisão de segurança de qualquer código novo como prática padrão e, a partir daí, evoluir para uma função permanente de Vulnerability Operations (VulnOps).

O segundo ponto é atualizar métricas de risco: muitas das suposições por trás dos indicadores de hoje foram construídas em um mundo onde patches chegavam em meses, não em horas. O CISO que não revisar sua matriz de risco pode se ver na posição de reportar ao conselho cenários que não refletem mais a realidade.

O terceiro ponto é operacional: acelerar o uso de agentes de codificação nas equipes de segurança. Testar patches e correções, automatizar coleta de dados de auditoria, fazer “red team” do próprio ambiente, tudo isso já pode ser feito por agentes. “Usar um agente de codificação hoje é mais fácil do que usar Excel”, cita o paper. Todas as funções de segurança, da GRC à resposta a incidentes, tendem a se tornar “AI builders”.

O quarto ponto é preparar-se para responder a mais incidentes. O paper recomenda exercícios para incidentes simultâneos de alta severidade ocorrendo na mesma semana, playbooks para incidentes críticos, verificação de segmentação, filtragem de egress, arquiteturas Zero Trust, MFA resistente a phishing e programações de rotação (secret manager). “A cadeia de suprimentos será afetada”, alerta o texto.

O quinto ponto é voltar aos fundamentos: segmentação, patching do que já é conhecido, IAM, defesa em profundidade. Cada barreira aumenta o custo para o atacante — e, com a superfície automatizada, cada ponto de segmentação se torna um limitador direto do blast radius.

O sexto ponto é o mais humano: não é possível superar, a trabalho, ameaças em velocidade de máquina. Repriorize, automatize e prepare-se para o esgotamento. O volume de divulgações de vulnerabilidades, segundo o paper, “excederá tudo o que a indústria já experimentou”. A recomendação é solicitar headcount e orçamento de reserva antes que a primeira onda quebre, adotar agentes e dar suporte à equipe em sua transição de carreira.

O sétimo ponto é estratégico: evoluir para um programa de segurança “Mythos-ready”. A CSA descreve esse ponto como um programa capaz de alcançar “resiliência mínima viável” em três dimensões: custo de exploração, detecção precoce de comprometimento e contenção do raio de impacto. Muitas premissas defensivas, segundo o texto, “estão sendo desafiadas”: o tempo para exploração caiu para minutos; não é mais seguro supor que um patch estará pronto a tempo; a frequência de incidentes aumentará; o sistema CVE pode não escalar; Shadow IT fragmentará o controle central à medida que agentes de codificação proliferam entre “Citizen Coders”; os funcionários desenvolverão sua própria infraestrutura; a inteligência de ameaças está ficando para trás na descoberta e exploração.

O oitavo e último ponto conclama uma defesa coletiva: os atacantes, lembra o texto, “já operam como sindicatos, em crowdsourcing, compartilhando ferramentas e se movendo coletivamente”. Os defensores precisam fazer o mesmo – via ISACs, CERTs e organismos de padronização – especialmente quando se considera as organizações que ficam “abaixo da linha da pobreza cibernética”, conceito introduzido pela pesquisadora Wendy Nather para descrever empresas que não têm recursos mínimos para se defender.

O dilema do “tenho, mas não confio”

O “CISO Survey 2026” da Sygnia ouviu 600 lideranças de decisão sênior em segurança de TI em organizações com mais de mil funcionários (exceto no setor cripto) e receita global anual acima de US$ 250 milhões, distribuídos nos Estados Unidos (200), Canadá (50), México (50), Reino Unido (50), França (50), Alemanha (50), Benelux (50), Austrália (50) e Cingapura (50). Cinco setores foram priorizados: Varejo, Finanças, Cripto/Finanças Descentralizadas, Manufatura e Saúde. A pergunta central é a mesma desde a primeira edição do relatório: “Se um ciberataque significativo ocorresse amanhã, quão pronta estaria a sua organização?”

A resposta é cruel, mas real: 73% dos entrevistados afirmaram que “não estariam totalmente prontos” para resistir a um ataque considerável sem interromper suas operações. O retrato se agrava quando se olha para a avaliação dos componentes individuais de resposta a incidentes (IR): embora os percentuais de organizações que possuem cada componente sejam quase universais (97% têm monitoramento 24/7 ou cobertura MDR; 100% têm papéis, responsabilidades e caminhos de escalação definidos; 99% têm plano de IR documentado; 97% fazem caça contínua de ameaças; 96% têm forense digital; 99% testam o plano via tabletop ou simulação), apenas 32% a 39% consideram esses elementos “altamente eficazes”. Ou seja, a infraestrutura de resposta existe, mas a confiança dos próprios líderes de segurança de que ela funcionará sob pressão é baixa.

“Isso mostra que capacidades de IR (Resposta a Incidentes), isoladamente, não geram confiança em resposta”, cita o relatório da Sygnia. “A força de desempenho é determinada por execução abrangente e coordenada – onde esses elementos trabalham juntos como um todo integrado.”

Onde a coordenação trava

O insight que deveria produzir mais desconforto nos conselhos é o seguinte: 89% dos CISOs citam engajamento limitado de C-levels ou do conselho na tomada de decisão em resposta a incidentes. Em outras palavras, no momento em que a crise chega, a autoridade não está pré-definida e as equipes gastam tempo refazendo briefings para aprovações em vez de agir.

O dado complementar é tão revelador quanto:

90% afirmam que teriam dificuldade em coordenar stakeholders em caso de um incidente significativo
75% concordam que atrasos e incertezas em torno do envolvimento dos times jurídico e de comunicação reduzem a velocidade da decisão durante incidentes cibernéticos
78% afirmam que os pontos cegos geram risco de acesso persistente do atacante e aumentam a probabilidade de incidentes repetidos.

A fragmentação da autoridade varia conforme o setor e a região do planeta. A América do Norte e a APAC são mais propensas a reconhecer a limitação de engajamento executivo (92% cada) do que a Europa (85%). O setor de Saúde privada apresenta o maior grau de acordo sobre os atrasos causados por jurídico e comunicações (86%), refletindo o maior peso regulatório e reputacional do setor. Curiosamente, Cripto/Finanças Descentralizadas é o setor que menos percebe isso como um problema (55%).

Por região, a percepção de despreparo:

85% na APAC afirmam que não estariam totalmente prontos
75% na Europa afirmam que não estariam totalmente prontos
67% na América do Norte concordam com essa afirmação.

Por setor, o Varejo lidera o despreparo com 79%, seguido por Cripto/Finanças Descentralizadas (75%), Finanças (72%), Manufatura (66%) e Saúde privada (62%).

O custo real dos gaps

Para afastar qualquer dúvida sobre se esse despreparo é um problema teórico, a Sygnia apresenta o contador. Dos 600 entrevistados, 76% afirmaram que suas organizações sofreram pelo menos um ciberataque nos últimos 12 meses e 32%, mais de um ataque. Os impactos mais frequentes foram paralisação operacional (47%), perda de dados (41%), dano reputacional (41%) e perda de receita (40%).

Os padrões por setor ajudam a dimensionar o risco no nível do conselho. No Varejo, 79% sofreram ataque no último ano, 60% reportaram paralisação operacional e 48%, perda de receita ou lucro. Em Cripto/Finanças Descentralizadas, a taxa de ataque chegou a 83%, a mais alta, com 43% relatando interrupção no nível do executivo ou do conselho. Em Manufatura e Serviços Financeiros o problema foi a perda de dados: 48% e 46%, respectivamente.

Por região, a América do Norte lidera em incidência (80%) e em paralisação operacional (51%). A APAC registra maior impacto em perda de dados (45%), dano reputacional (46%) e perda de clientes (33%). Já a Europa tem incidência menor (69%) mas, quando acontece, é maior a probabilidade de perda de receita ou lucro (46%), principalmente em relação à América do Norte (36%).

Os pontos cegos que os atacantes exploram

“Você não consegue conter o que não consegue ver”, é como a Sygnia batizou a seção sobre lacunas de visibilidade em seu relatório. Os números são eloquentes:

90% dizem que sua organização enfrentaria lacunas de visibilidade em nuvem pública durante um ataque de maiores proporções
89% dizem que sua empresa enfrentaria lacunas de visibilidade em ambientes on-premise
89% citam a perda de visibilidade em endpoints
89% reportam perda de visibilidade em ambientes OT/ICS
89% dizem que a perda de visibilidade aconteceria em SaaS

A maioria (78%) dos entrevistados admite que pontos cegos aumentam o risco de acesso persistente do atacante e de incidentes repetidos.

O risco se agrava em ambientes de tecnologia operacional: 84% dos entrevistados manifestaram preocupação com atacantes atravessando a fronteira entre sistemas corporativos de TI e ambientes OT/ICS. A razão deveria estar no radar de todo CFO: quando um incidente alcança a OT, a paralisação operacional ganha escala, o tempo de recuperação se alonga e o dano reputacional cresce. Nesse cenário, a falha aparece para o cliente final, na linha de produção que para, no produto que não é entregue, no serviço que sai do ar.

As ameaças para este ano e o papel (ainda limitado) da IA defensiva

Perguntados sobre as ameaças cibernéticas que mais os preocupam nos próximos 12 meses, os CISOs listaram:

Ransomware – 46%
Ataques a ambientes em nuvem – 44%
Comprometimento de e-mail – 37%
Roubo de dados/espionagem – 37%
Comprometimento de credenciais/identidade – 37%
Comprometimento da cadeia de suprimentos – 35%
Ameaças internas – 31%
Fraude financeira – 29%

A resposta organizacional vai majoritariamente pelo caminho da IA. Se em 2025 apenas 25% das organizações usavam IA de forma “extensiva” em detecção de ameaças e resposta a incidentes, em 2026 o número chega a 32%, e em 2027 a expectativa é chegar a 63%. O dado é interpretado pela Sygnia como sinal de que a IA está deixando de ser uma capacidade pontual para se tornar um recurso de base nas operações de segurança, ou seja, entra como infraestrutura.

Infelizmente, a adoção da IA não é sinônimo de eficiência e nem de todos os problemas resolvidos. As organizações com uso “moderado” ou “extensivo” de IA são mais propensas a classificar seus componentes de Resposta a Incidentes (IR) como eficazes, se comparadas às de uso “limitado”. Mas os ganhos aparecem justamente quando a IA reforça os fundamentos do IR e não quando o substitui. O aviso, mais uma vez, vem do relatório: “A IA entrega mais valor quando fortalece os fundamentos de resposta a incidentes, em vez de substituí-los. Isso sugere que a prontidão melhora quando a IA é incorporada aos workflows, e não quando as equipes usam automação como substituto para o julgamento humano.”

As quatro recomendações finais

O relatório fecha com quatro recomendações à liderança. A primeira é formalizar a governança multifuncional e a propriedade executiva de Resposta a Incidentes, via estruturas como um Incident Response Retainer (IRR), exercícios de tabletop com executivos e autoridade clara de escalação para garantir que a liderança esteja “comprada” antes da crise, não introduzida no meio dela.

A segunda recomendação é fechar as lacunas de visibilidade em TI, Cloud, SaaS e OT, com avaliações de postura cibernética, engajamentos de red team e purple team e investigação em escala empresarial. A terceira é escolher um parceiro de IR com o qual você possa tanto se preparar quanto chamar no momento do incidente, cobrindo o ciclo completo: governança, postura, exercícios, melhoria de visibilidade e, depois, suporte de espectro completo durante e após o incidente.

A quarta recomendação é tratar a IA como acelerador, não como substituto da disciplina: integrar IA aos workflows estruturados de caça de ameaças, triagem e investigação, em vez de posicioná-la como sinal isolado de maturidade.

O que deveria mudar na pauta do CEO e do board

Se um CEO, CFO ou presidente de conselho está lendo este artigo, três perguntas deveriam dominar sua próxima reunião com o CISO:

O programa de segurança da empresa foi calibrado para um mundo em que o tempo entre a divulgação de uma vulnerabilidade e sua exploração é de cerca de 20 horas, e não mais de meses? Essa simples atualização implica revisões profundas: pipelines de patch acelerados, janelas de tolerância a downtime operacional revistas, resposta automatizada pré-autorizada, arquitetura segmentada, MFA resistente a phishing como padrão e capacidade de patching contínua — não trimestral.
A autoridade de decisão em uma crise está formalizada? Nos dados da Sygnia, 89% das equipes relatam envolvimento limitado do executivo e do conselho na tomada de decisão em IR; 75% apontam atraso causado por incerteza jurídica e de comunicação. Em um ambiente em que o atacante opera em velocidade de máquina, não há espaço para briefings repetidos em busca de aprovações. A recomendação convergente é clara: trazer o conselho para dentro dos tabletops, pré-autorizar ações de contenção, definir quem assina o quê e quando, e transformar o plano de crise em um documento com skin in the game do executivo sênior.
A organização está adotando agentes de IA de forma ofensiva (contra sua própria base de código) e defensiva (em triagem, caça de ameaças e resposta), ou está assistindo, parada, à janela fechar? O paper da CSA é taxativo: a assimetria não é apenas tecnológica, mas cultural. Equipes que não adotarem agentes de codificação “não conseguirão igualar a velocidade ou a escala de ameaças aumentadas por IA, independentemente de sua habilidade técnica”.

Uma última provocação para a liderança. “O Mythos é agora uma preocupação do conselho, e isso cria uma oportunidade”, cita o documento da CSA. A oportunidade tem a ver com aproveitar o momento em que o tema está na pauta para aprovar investimentos, rever o modelo de governança e fortalecer a arquitetura. Um programa Mythos-ready, conclui o paper, “não é sobre reagir a um modelo ou a um anúncio. É sobre fechar permanentemente a lacuna entre a velocidade com que vulnerabilidades são descobertas e a velocidade com que a sua organização pode responder”.

A Sygnia, por sua vez, sintetiza a mesma mensagem em uma frase que soa, em 2026, como um recado endereçado diretamente a quem, na empresa, assina contratos, aprova orçamentos e responde aos acionistas: “O diferenciador não é se a organização é atacada, mas com que eficácia ela responde.”

Quem pagar para ver “como as coisas vão se desenrolar” provavelmente aprenderá sobre suas próprias fraquezas em tempo real, no meio de uma crise pública.