IA está descobrindo muito mais vulnerabilidades em nossos softwares do que podemos nos dar ao luxo de corrigir

Em junho de 2016, a famosa "Patch Tuesday" da Microsoft bateu o recorde com 206 vulnerabilidades, três das quais eram exploits de dia zero. Em julho, esse recorde foi superado, com o número triplicando. Este não é um caso isolado: Oracle, Chrome e Firefox estão entre as empresas e projetos que viram um aumento nas vulnerabilidades corrigidas em suas versões mais recentes. A culpa é da IA, que está ajudando a detectar todos esses problemas e a tornar o software mais seguro do que nunca, mas isso está causando um efeito colateral preocupante.

Que dilema!

Por décadas, encontrar uma vulnerabilidade grave em um projeto de software exigia tempo, especialistas e uma boa dose de sorte. A IA está mudando esse equilíbrio, pois possibilita a análise de bases de código massivas, a identificação de falhas em uma velocidade e escala antes impossíveis. O resultado teórico deveria ser fantástico, pois, graças a tudo isso, deveríamos ter softwares mais seguros do que nunca. O problema é que as vulnerabilidades estão sendo descobertas muito mais rápido do que os humanos conseguem verificá-las, corrigi-las, priorizá-las e instalar patches.

Do Fuzzing à IA

A análise automatizada de código não é novidade. Grandes empresas de tecnologia usam o fuzzing há anos, uma técnica que "bombardeia" aplicativos com entradas de dados inesperadas para tentar causar erros. A limitação é que algumas áreas do código são mais facilmente "exploradas" do que outras. Com os modelos de IA, as coisas mudam, pois eles conseguem ler o código-fonte, criar conexões entre pistas aparentemente não relacionadas e raciocinar sobre como explorar essas vulnerabilidades em conjunto. A Mozilla afirma que, até recentemente, apenas uma pequena elite de especialistas em segurança cibernética era capaz de fazer isso.

Chrome recebe impulso

O Google corrigiu nada menos que 1.072 vulnerabilidades no Chrome 149 e 150, as duas versões lançadas em junho de 2016. Isso representa mais do que as 1.036 vulnerabilidades corrigidas nas 23 versões anteriores, lançadas aproximadamente nos últimos dois anos. A empresa afirma que esse salto se deve em grande parte à inteligência artificial aplicada à tarefa, e seu diretor de engenharia descreve a mudança claramente: encontrar falhas tornou-se um processo automatizado em escala industrial.

Duas atualizações por semana

O Chrome já caminhava para um futuro em que grandes versões seriam lançadas a cada duas semanas e atualizações de segurança semanalmente. Essa enxurrada de correções levou a equipe de desenvolvimento a testar uma frequência ainda mais agressiva: haverá correções e atualizações para o navegador duas vezes por semana. Há uma curiosa (e provavelmente irritante) contradição aqui: o Chrome está mais seguro do que nunca, mas isso nos força a atualizá-lo com tanta frequência. No entanto, o Google acredita que esse ritmo poderá diminuir assim que o acúmulo de bugs for resolvido.

Firefox já previa isso

A Mozilla aplicou uma versão de pré-visualização do Claude Mythos ao Firefox e corrigiu um total de 271 vulnerabilidades detectadas na avaliação inicial do Firefox 150. Anteriormente, haviam testado o Claude Opus 4.6 e encontrado outros 22 problemas significativos. A Mozilla afirma não ter encontrado nenhum bug detectável por humanos que não possa ser encontrado pelo novo modelo da Anthropic.

Microsoft e suas atualizações de segurança

A atualização de segurança de julho de 2026 (Patch Tuesday) corrigiu 622 CVEs (206 em junho). Este lote incluiu 59 vulnerabilidades críticas e três vulnerabilidades zero-day divulgadas publicamente: duas das quais estavam sendo exploradas ativamente. A Microsoft já havia alertado que a detecção de vulnerabilidades de segurança assistida por IA aumentaria o número de atualizações, mas o que aconteceu demonstra que nem mesmo eles previram que seu software teria tantos problemas.

Caso da Oracle é ultrajante

Há outro exemplo ainda mais impressionante: em sua atualização trimestral de julho, a Oracle lançou 1.449 patches para todo o seu catálogo de software. Apenas 64 deles foram detectados por pesquisadores externos, o que parece demonstrar claramente que a IA desempenhou um papel fundamental. Como nos outros casos, o problema é que eles tiveram que corrigir todos... e seus clientes precisam atualizar todos esses componentes antes que os cibercriminosos possam explorar a situação.

Muito barulho por nada?

É importante notar que nem todas as vulnerabilidades são graves ou exigem a mesma urgência. No caso dos 1.449 patches da Oracle, apenas dez tinham a classificação de gravidade mais alta, CVSS 10.0. A Microsoft, por outro lado, tinha 59 falhas críticas. Os números gerais são impressionantes, mas cabe aos administradores de sistemas separar o joio do trigo e priorizar para evitar que essas atualizações causem novos problemas. Isso, aliás, pode levar ao famoso ditado: "o remédio é pior que a doença".

Imagem | Mohammad Rahmani