IA reduz janela de exploração de vulnerabilidades para 24 horas, alerta J.P. Morgan

Um relatório do J.P. Morgan Asset & Wealth Management, noticiado pelo ET Tech, afirma que o avanço da inteligência artificial está encurtando drasticamente o tempo entre a descoberta e a exploração de vulnerabilidades de software. Segundo o documento, a média entre a divulgação de uma falha e seu primeiro ataque caiu para um único dia, um cenário que o relatório compara à falta de tempo de reação de moradores de regiões atingidas por tornados.

O que o relatório diz

De acordo com o J.P. Morgan, modelos de IA como Mythos e GPT 5.5 estão ampliando significativamente a capacidade de detectar vulnerabilidades desconhecidas, mas as mesmas capacidades podem ser usadas por operadores de ransomware, grupos hacktivistas e outros agentes maliciosos.

Alguns números citados no relatório:

• Mais de 10 mil novas vulnerabilidades zero-day de severidade alta e crítica foram identificadas no primeiro mês de testes de sistemas avançados de IA, muitas ausentes de bases públicas de vulnerabilidades.
• Os ataques cibernéticos cresceram 18% globalmente em 2025, com cerca de 75 mil ataques por hora, sendo o phishing o principal vetor.
• Em 60% das violações, já existia um patch disponível no momento do comprometimento.
• Há um déficit global de quase 4,8 milhões de profissionais de segurança.

O relatório aponta ainda que atacantes já conseguem fazer engenharia reversa de patches em minutos usando IA e desenvolver exploits funcionais rapidamente. A projeção é de que o tempo mediano para exploração, hoje em um dia, caia para um minuto até 2027.

A IA também joga na defesa

O documento faz questão de registrar que as mesmas ferramentas usadas para detectar e explorar falhas também podem propor correções de código e remediá-las. O relatório cita ferramentas de segurança baseadas em IA em desenvolvimento pela Anthropic e pela OpenAI.

A conclusão do J.P. Morgan é que as empresas precisarão priorizar atualizações e implantação de patches com rapidez, medindo-se cada vez mais pela velocidade de remediação e não apenas pela precisão, diante do que o relatório chama de um "tsunami de patches" à frente.

O que muda para quem constrói software no Brasil

O recado prático do relatório vale igualmente para times brasileiros: se a janela entre divulgação e exploração encolhe para horas, o ciclo de resposta precisa acompanhar. Alguns pontos concretos para times de desenvolvimento e SRE:

• Automatize a esteira de patches. Dependência de atualização manual não sobrevive a uma janela de 24 horas. Ferramentas como dependabot, renovate e scanners integrados ao CI ajudam a detectar e abrir PRs de atualização automaticamente.
• Monitore fontes de CVE em tempo real. Além das bases tradicionais, o relatório destaca que muitas falhas descobertas por IA nem chegam a bases públicas de imediato, o que reforça a importância de threat intelligence e de manter o inventário de dependências (SBOM) atualizado.
• O dado dos 60% (patch disponível no momento da invasão) mostra que, muitas vezes, o problema não é a falta de correção, mas a demora em aplicá-la. Reduzir esse gap operacional costuma ter mais impacto imediato do que investir apenas em detecção.

Vale lembrar que o Brasil segue entre os países mais visados por ataques na América Latina, e o déficit de profissionais de segurança citado no relatório é um gargalo global que também pesa aqui. Para quem escreve código, a mensagem é direta: velocidade de remediação passa a ser métrica de engenharia, não só de segurança.

A íntegra dos dados está no relatório citado pelo ET Tech.

Fonte: ET Tech (Índia)