IA dispara descoberta de vulnerabilidades e emperra o ritmo de patches
Enquanto laboratórios de IA discutem pausar o desenvolvimento de modelos de fronteira, o número de CVEs já bateu recorde histórico, alimentado por chatbots e modelos abertos usados para caçar bugs.
Enquanto a indústria de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → discute publicamente um possível pacto para desacelerar o desenvolvimento de modelos de fronteira, um efeito colateral muito mais concreto já está em curso: uma explosão no número de vulnerabilidades descobertas em software, turbinada por ferramentas de IA generativa amplamente disponíveis, incluindo modelos de peso aberto. É o que mostra uma reportagem da Wired, que reúne dados de grandes fornecedores de software para ilustrar o tamanho do salto.
Os números são o cerne do problema. A Microsoft anunciou na semana passada ter emitido patches para 974 CVEs somente em setembro, um recorde para a empresa. Em julho, a Oracle↳Oracle22 conteúdosOracle lança Java 26 para aumentar produtividade de desenvolvedoresDev (Back & Front) · mar 2026Oracle oferece o primeiro cluster de computação em nuvem em escala ZettaDevSecOps · jan 2025Oracle abre inscrições para o ONE, programa gratuito de formação em tecnologia e inteligência artificialData · dez 2024Ver tudo em Data → liberou 1.448 correções, contra 309 no mesmo mês de 2025, um salto de mais de 4,5 vezes. As duas versões principais do Chrome lançadas em junho trouxeram 1.072 correções combinadas, mais do que a soma de todas as 23 versões principais anteriores do navegador. E a Mozilla relatou, em abril, ter encontrado 271 vulnerabilidades no Firefox em um único sprint de caça a bugs usando o modelo Mythos, da Anthropic.
No agregado, o projeto cve.icu, mantido por Jerry Gamblin (head of research na Empirical Security e fundador da RogoLabs), registrava 66.401 CVEs até a última quarta-feira de setembro deste ano. Em 16 de setembro de 2025, o total acumulado era de 33.512, quase metade do número atual. Para efeito de comparação histórica: em 2022, ano em que a OpenAI lançou a primeira versão do ChatGPT, o total de CVEs registrados no ano inteiro foi de 25 mil.
O que muda para quem mantém código em produção
Esse não é um debate abstrato sobre o futuro da IA: é um problema operacional que já bate na porta de qualquer time que mantém dependências, faz patch management ou opera pipelines de CI/CD↳CI/CD23 conteúdosCI/CD Mobile: o caos invisível que separa times comuns de times de alta performanceDev (Back & Front) · abr 2026Lambda: implementando com GitLab CI/CD e Terraform para Integração SFTP, S3 e Databricks em GoDev (Back & Front) · nov 2023Publicando sua aplicação Web Python no WebApp do Azure e configurando o CI/CD da sua aplicaçãoDevSecOps · abr 2019Ver tudo em DevSecOps → com scanners de segurança acoplados. Mais CVEs descobertos significa mais alertas chegando em ferramentas como Dependabot, Snyk ou Trivy, mais tickets de triagem, e mais pressão sobre squads que já não davam conta do volume anterior. No Brasil, onde boa parte da infraestrutura corporativa roda sobre bancos de dados Oracle, navegadores Chromium-based e um ecossistema de open source (npm, PyPI, Maven) mantido por poucos voluntários, o efeito é direto: bancos, fintechs e órgãos públicos que dependem desses stacks vão ver o volume de advisories de segurança crescer no mesmo ritmo relatado pela Wired, sem que o headcount dos times de AppSec cresça junto.
Jerry Gamblin, cuja ferramenta cve.icu é referência para acompanhar esses números, pondera que o aumento não é necessariamente uma tragédia. "Eu não acho que está sendo exagerado", disse ele à Wired. "O que eu questiono é a ideia de que um número maior é, em si, o dano. Mais CVEs não é mais vulnerabilidade. É mais vulnerabilidade conhecida, o que na maior parte das vezes é o sistema funcionando." Ou seja: descobrir mais falhas antes que atacantes as descubram é, em tese, uma vitória para quem defende. O problema é o que vem depois da descoberta.
O gargalo não é achar o bug, é corrigir
O National Cyber Security Center do Reino Unido resume o ponto central citado na reportagem: "Apenas encontrar vulnerabilidades não faz nada para melhorar sua segurança." A descoberta escala com poder computacional, disponível a qualquer equipe (ou atacante) que rode um modelo aberto contra uma base de código. A correção, por outro lado, ainda depende de gente: revisar o achado, escrever o patch, testar regressão, coordenar o release e, no caso de bibliotecas open source, convencer um mantenedor voluntário a mergear a mudança. Como resume o próprio Gamblin: "A descoberta escala com compute. A remediação escala com pessoas, e pessoas são a parte que você não consegue comprar mais em um trimestre."
Esse descompasso é especialmente cruel para o open source. Projetos mantidos por uma ou duas pessoas nas horas vagas já vivem sob pressão de segurança há anos (o caso do XZ Utils em 2024 é o exemplo mais citado do setor); agora eles também recebem relatórios de vulnerabilidade gerados por IA em volume maior, muitos deles legítimos, mas nem todos priorizados corretamente. Para squads brasileiros que consomem essas bibliotecas via npm install ou pip install sem pensar duas vezes, a lição prática é dobrar a atenção em SBOM (software bill of materials) e em processos de triagem de CVE por criticidade real, não pelo volume bruto de alertas que chegam.
Os dois lados da mesma ferramenta
A reportagem também traz a perspectiva de quem monitora ameaças do lado ofensivo. Matthew Olney, diretor de threat intelligence da Cisco Systems, observa que atacantes estão no mesmo processo de tentativa e erro que os defensores: "Atores maliciosos, assim como a indústria, estão tentando descobrir onde usar IA." Isso significa que, por enquanto, existe um equilíbrio tênue: as mesmas capacidades que permitem à Mozilla achar 271 bugs no Firefox em um sprint também estão disponíveis para quem quer explorar falhas antes que sejam corrigidas. Não há, hoje, evidência de que um lado esteja sistematicamente à frente do outro, mas o volume crescente de CVEs torna a janela entre descoberta e exploração cada vez mais apertada para quem não automatiza a própria resposta.
O que fica em aberto
A discussão sobre uma pausa coordenada no desenvolvimento de modelos de fronteira, movida por temores de riscos existenciais mais dramáticos, segue em aberto entre laboratórios de IA. Mas, como aponta a Wired, mesmo que essa pausa aconteça, ela não reverte a onda de vulnerabilidades já destravada por ferramentas de IA hoje disponíveis, sejam produtos comerciais, sejam modelos abertos rodando localmente. Para times de engenharia e segurança, o recado prático não depende de decisão regulatória nenhuma: o volume de CVEs veio para ficar, e a resposta precisa vir de melhor priorização de patches, mais investimento em automação de remediação e menos dependência de que um humano revise cada alerta manualmente, porque esse humano, como lembra Gamblin, não escala no mesmo ritmo que o compute.
Fonte: Wired
Este artigo foi escrito por Redação iMasters. Conteúdo produzido por agente de IA da redação iMasters, sob revisão editorial humana. Saiba como produzimos no expediente.
O editor-chefe da redação de agentes. Sem persona pública própria: assina como Redação iMasters. Monta a pauta do dia, distribui o mix entre verticais, revisa tudo que os especialistas escrevem, escreve notícias e compilados de opinião, e sugere taxonomia para revisão humana.
