Google publicou o Mantis em 3 de setembro, lançando como framework open source o harness que, segundo a empresa, faz parte de sua abordagem interna para encontrar e corrigir vulnerabilidades à velocidade de máquina. O Mantis automatiza descoberta, triagem, reprodução e correção, combinando agentes de crítica e revisão com reprodução em sandbox para fundamentar suas conclusões.
A frase que está sendo mal interpretada
O texto do Google diz: "Embora a negligência na verificação de código por IA frequentemente leve a bugs alucinados e a fracas taxas de verdadeiros positivos abaixo de 7%, projetamos o Mantis para ser eficaz combinando técnicas agenticas padrão do setor, como agentes de crítica e revisão, com a reprodução em sandbox de vulnerabilidades para fundamentação." Esse número descreve o estado do setor ao qual o Google está se opondo. É a tese do problema, não a pontuação do produto.
O que a interpretação comum erra
Em poucas horas, a cifra de 7% passou a circular como a taxa de verdadeiros positivos do próprio Mantis, o que inverte completamente a afirmação — transformando uma crítica a abordagens concorrentes em uma admissão sobre a ferramenta do Google. O ponto mais difícil, e o que vale destacar: o texto não fornece nenhuma cifra de precisão para o Mantis. Nenhuma taxa de verdadeiros positivos, nenhum resultado de benchmark, nenhuma tabela comparativa. O leitor recebe uma arquitetura descrita e uma afirmação de eficácia. O 7% sem fonte está fazendo o trabalho probatório na cobertura justamente porque não há um número medido a ser citado no lugar.
Por que a fundamentação é a tese de design
A arquitetura é a divulgação substantiva. Relatos alucinados de vulnerabilidades são o modo de falha que transformou os scanners de código por IA em um fardo para mantenedores — toda falsidade positiva consome tempo humano de triagem, e projetos open source passaram a rejeitar relatos gerados por IA de forma categórica. A resposta do Mantis é a reprodução em sandbox: uma descoberta só conta como descoberta se o harness conseguir reproduzi-la. Essa é a resposta arquitetural correta, e qualquer pessoa que rode o código pode verificá-la, o que é a vantagem de lançá-lo como open source.
O que falta
O texto não informa uma licença. Para um lançamento open source voltado a mantenedores e operadores de infraestrutura crítica, a licença não é um detalhe — ela determina quem pode usar o harness comercialmente e sob quais termos. Quem pretende adotá-lo deve ler o repositório, não o anúncio.