Um dos temas mais relevantes para quem desenvolve software discutidos na abertura da Web Summit Lisbon foi a relação entre IA e segurança de código. Ao comentar o aumento recente de vulnerabilidades reveladas publicamente, o palestrante no palco fez questão de desmontar uma narrativa comum: a de que a IA estaria "causando" mais falhas de segurança.
"What I think is the wrong story, though, is that that's AI's fault. In this case, this is a clear example. AI is the hero."
A analogia usada foi direta: imagine viver em uma casa achando que está seguro, sem saber que há "monstros" escondidos embaixo de cada cama e dentro de cada armário. Essa seria, segundo o palestrante, a situação real da internet durante anos — vulnerabilidades existindo silenciosamente, sendo exploradas por agentes maliciosos sem que ninguém soubesse.
O exemplo citado foi concreto e deve chamar atenção de quem mantém sistemas legados em produção:
"The vulnerability that was in PHP had been around for 15 years, right? We know that it had been actually exploited by people that were doing bad things with it very quietly behind the scenes."
Para desenvolvedores brasileiros que ainda mantêm bases de código antigas em PHP — e são muitas, dado o peso histórico da linguagem no mercado nacional — o recado é claro: ferramentas de análise baseadas em IA estão cada vez mais capazes de encontrar brechas que escapavam de revisões manuais e de scanners tradicionais por mais de uma década.
A segunda metade da analogia reforça o ponto: agora que essas ferramentas estão "olhando embaixo da cama e lutando contra os monstros nos armários", estamos de fato matando essas vulnerabilidades, mesmo que o processo gere manchetes incômodas no curto prazo.
"The Internet is actually getting significantly safer, even as we're going to read headlines over the next couple of years of horrible incident after horrible incident after horrible incident."
A previsão mais ousada veio na sequência: dentro de cerca de dois anos, a expectativa é que bugs de segurança comecem a desaparecer em escala significativa, à medida que ferramentas de IA tornam a varredura e a correção de vulnerabilidades parte rotineira do ciclo de desenvolvimento — não mais um evento raro dependente de auditorias manuais.
Para times de engenharia no Brasil, a mensagem prática é dupla: primeiro, não tratar alertas de segurança gerados por IA como ruído ou falso positivo por padrão — parte considerável dessas descobertas está desenterrando dívidas técnicas reais, antigas e exploráveis. Segundo, vale revisar a postura sobre dependências e frameworks legados: se uma falha de 15 anos num ecossistema tão auditado quanto o PHP só veio à tona agora, é razoável assumir que stacks menos escrutinadas escondem problemas semelhantes — e que ferramentas baseadas em IA serão, cada vez mais, a forma primária de encontrá-los antes dos atacantes.