IA descobre 2 mil falhas críticas e pressiona segurança digital

Segurança Digital

Inteligência artificial revela milhares de falhas que desafiam gigantes da tecnologia a reforçar a proteção online.

Leia também: Revi capta R$ 8,3 mi para triplicar IA no varejo físico até 2028

A inteligência artificial transformou a caça a brechas de segurança em uma corrida contra o relógio no Vale do Silício e no resto do mundo, obrigando equipes de OpenAI, Google, Microsoft e projetos de código aberto a corrigir, em poucos meses, milhares de vulnerabilidades capazes de afetar grande parte da internet.

IA abre uma ‘caixa de Pandora’ de vulnerabilidades

No centro dessa virada está Fouad Matin, responsável pela preparação e segurança cibernética da OpenAI. Ele precisou interromper a própria festa de aniversário recentemente para coordenar, com apenas algumas horas de sono, a correção de duas falhas críticas encontradas por sistemas de IA, que poderiam ter impacto amplo na infraestrutura online. A operação envolveu pesquisadores de startups, gigantes de tecnologia e autoridades de vários países.

Desde maio, a OpenAI usa seus modelos para vasculhar softwares de código aberto — base de boa parte da infraestrutura digital — em busca de falhas. Segundo a companhia, mais de 1.300 vulnerabilidades já foram identificadas por pesquisadores internos e externos com ajuda da tecnologia. “A IA realmente abre essa caixa de Pandora de vulnerabilidades”, afirma Matin. Para ele, as empresas do setor têm a obrigação de usar esses sistemas para “examinar e corrigir o máximo possível do software existente no mundo”.

A estratégia não é exclusiva. Em junho, o Google empregou IA para localizar e corrigir 1.072 falhas em seu navegador Chrome, superando em um único mês o total ajustado nos dois anos anteriores. A Microsoft, por sua vez, publicou 1.461 correções de segurança só neste mês, mais do que divulgou em todo o ano passado, impulsionada por ferramentas automatizadas de varredura e análise de código.

“Vai ficar dez vezes pior”, diz mantenedor do Node.js

Quem está na linha de frente do software livre também sente o impacto. Matteo Collina, diretor de tecnologia da startup Platformatic e um dos mantenedores do Node.js — ferramenta usada por empresas como Uber e Netflix — relata que o projeto foi inundado por relatórios de falhas desde que modelos de IA passaram a ser usados para análise de código.

Somente neste ano, o Node.js confirmou e corrigiu 50 vulnerabilidades, o maior volume de sua história. Parte dessas falhas chegou às mãos de Collina por meio de alertas da própria OpenAI, que apontou problemas com potencial para permitir invasões em larga escala e roubo de dados.

Para dar conta da demanda, o desenvolvedor trabalha sete dias por semana e recorre a agentes de IA para continuar a triagem e a correção durante a madrugada. “Esse é o primeiro fluxo que está surgindo, e vai ficar dez vezes pior”, projeta. A pressão é tamanha que ele admite incerteza sobre o futuro da carreira: “Ninguém sabe mais como essa profissão será daqui para frente”.

Prestígio em queda para caçadores de falhas humanos

A mudança não é apenas de volume, mas também de cultura na segurança digital. A atividade de encontrar brechas em sistemas, antes vista como um ofício quase artesanal e altamente valorizado, perdeu espaço para o trabalho automatizado de modelos de IA.

“Há dois anos, era realmente muito legal encontrar uma falha de segurança”, diz Volker Dusch, engenheiro de segurança da PHP Foundation, entidade responsável pela manutenção da linguagem PHP. Ele conta que, recentemente, uma vulnerabilidade crítica no código — capaz de afetar uma parcela enorme de sites — foi detectada por IA, após passar despercebida por mais de uma década. “Esse prestígio praticamente desapareceu. A forma como isso é valorizado está mudando completamente.”

A correção desse tipo de problema exige mobilização global. No caso do PHP, equipes de empresas de segurança, especialistas da própria fundação, engenheiros da OpenAI e técnicos de grandes provedoras de infraestrutura se organizaram em canais fechados e reuniões diárias para costurar um pacote de correções que alterou cerca de 200 arquivos de código. Governos e operadoras de serviços de internet foram avisados com antecedência para ajudar na distribuição dos patches.

Entenda o contexto

O uso massivo de IA em cibersegurança é um fenômeno recente. Em poucos meses, modelos capazes de ler e escrever código com alto grau de sofisticação passaram a ser treinados especificamente para procurar vulnerabilidades, combinando pequenos erros espalhados por diferentes sistemas em ataques complexos.

Ao mesmo tempo, ferramentas poderosas para invasão também ficaram mais acessíveis. Modelos mantidos sob controle por grandes laboratórios convivem hoje com alternativas gratuitas, desenvolvidas em outros países, que já demonstram desempenho próximo em testes práticos de ataque a sistemas fictícios. Isso desencadeou uma corrida para que empresas e mantenedores de projetos abertos encontrem e corrijam as falhas antes de criminosos digitais.

Na prática, muitos desenvolvedores deixaram de priorizar a criação de novos recursos para se dedicar quase exclusivamente à proteção do código que já está em uso. Especialistas preveem que vulnerabilidades de grande alcance se tornem frequentes, pressionando empresas a investir mais em capacidade computacional, equipes especializadas e automatização da resposta a incidentes.

Entre os profissionais, há divisão: parte vê um período de “céu caindo” nos próximos anos, com uma sucessão de grandes falhas e correções emergenciais; outros apostam que, exposta essa “caixa de Pandora” e feita a limpeza mais pesada, a internet sairá do outro lado mais segura do que hoje. Em comum, todos concordam em um ponto: a IA já mudou, de forma irreversível, a maneira como a segurança de software é feita no mundo.