Esqueça a desaceleração da IA – a explosão da vulnerabilidade já está acontecendo
Bem-vindo ao edição inaugural do Kernel Panic! Um boletim informativo semanal de Lily Hay Newman e Matt Burgess sobre o novo mundo da privacidade e segurança digital. Para receber esta newsletter em sua caixa de entrada todas as semanas, inscreva-se aqui.
Os destruidores da IA trocaram recentemente um pior cenário por outro, deixando de lado um potencial apocalipse de vulnerabilidade de software para se concentrarem na possibilidade de uma IA desonesta causar morte humana em massa na próxima década. No entanto, à medida que os líderes da IA consideram um abrandamento cooperativo no desenvolvimento de modelos de fronteira, um aspecto da mudança radical na segurança cibernética já chegou graças às capacidades existentes e amplamente disponíveis nos principais produtos de IA, incluindo modelos de peso aberto.
Uma onda gigantesca de vulnerabilidades descobertas com o uso da IA só se acelerou nos últimos meses, aumentando a pressão sobre equipes de TI e de segurança com poucos recursos e muito humanas, e sobrecarregando os voluntários que mantêm software de código aberto crucial. Os pesquisadores também encontraram e divulgaram uma vasta gama de vulnerabilidades antes do surgimento da caça a bugs aprimorada por IA, mas o aumento recente é claro.
A Microsoft disse na semana passada que emitiu patches para 974 CVEs neste mês, estabelecendo um novo recorde. (CVEs, ou vulnerabilidades e exposições comuns, é um jargão de segurança cibernética para falhas de software confirmadas.) Em julho, a Oracle enviou 1.448 patches em comparação com 309 em julho de 2025. Os dois principais lançamentos de versão do Google Chrome em junho incluíram 1.072 patches, mais do que todas as correções de vulnerabilidade enviadas nos 23 grandes lançamentos anteriores combinados. E a Mozilla disse em abril que encontrou 271 vulnerabilidades no Firefox durante uma corrida de busca de bugs usando o modelo Mythos da Anthropic.
No geral, houve impressionantes 66.401 CVEs registrados até quarta-feira desta semana, de acordo com Jerry Gamblin, chefe de pesquisa da Empirical Security e fundador do RogoLabs, que administra o projeto de análise CVE cve.icu. Até 16 de setembro do ano passado, cve.icu registrou um total de 33.512 CVEs – quase metade do total atual. Durante todo o ano de 2022, ano em que a OpenAI lançou sua primeira versão do ChatGPT, cve.icu registrou 25.000 CVEs.
Entre os investigadores de segurança e de IA, os especialistas estão divididos sobre se este pico e outros impactos da IA na segurança cibernética serão catastróficos ou, em vez disso, ampliarão as dinâmicas e os desafios existentes. Alguns apontaram que a lenta adoção de patches e o atraso no investimento em segurança cibernética já deram aos invasores muitas vantagens que levaram a desastres de hackers antes do surgimento da IA. Mas à medida que os números de descoberta de vulnerabilidades continuam a aumentar e a discussão se torna menos teórica, os dois lados parecem aproximar-se um pouco mais.
“Não creio que seja exagero”, diz Gamblin sobre a aparente explosão nas descobertas de vulnerabilidades em toda a indústria. “O que eu rejeitaria é a ideia de que um número maior é em si o dano. Mais CVEs não significam mais vulnerabilidade. É mais conhecido vulnerabilidade, que é principalmente o funcionamento do sistema.”
O medo, porém, é que a vasta descoberta de vulnerabilidades signifique que os desenvolvedores sejam ultrapassados na correção, os usuários de software que não conseguem corrigir com rapidez suficiente e uma série de ataques cibernéticos crescentes alimentados por mais invasores que descobrem novas vulnerabilidades por conta própria usando IA. Como afirma o Centro Nacional de Segurança Cibernética da Grã-Bretanha: “A simples descoberta de vulnerabilidades não melhora a sua segurança”.
