Inteligência Artificial revela um número alarmante de vulnerabilidades em softwares que superam nossa capacidade de correção

A inteligência artificial está revolucionando a detecção de vulnerabilidades, mas traz desafios significativos para a segurança de software.

Em junho de 2016, a Microsoft registrou um recorde de 206 vulnerabilidades durante a “Patch Tuesday”, incluindo três exploits de dia zero. No mês seguinte, esse número triplicou, refletindo uma tendência crescente de vulnerabilidades em softwares populares, como os da Oracle, Chrome e Firefox. A inteligência artificial (IA) tem sido um fator crucial na identificação dessas falhas, contribuindo para um software mais seguro, mas também gerando preocupações sobre a velocidade com que essas vulnerabilidades são descobertas.

Que dilema!

Historicamente, a detecção de vulnerabilidades exigia tempo e a expertise de especialistas. Com a IA, esse cenário mudou drasticamente. A tecnologia é capaz de analisar vastas bases de código e identificar falhas em uma velocidade sem precedentes. Embora isso deva resultar em softwares mais seguros, a realidade é que as vulnerabilidades estão sendo descobertas muito mais rapidamente do que os humanos conseguem corrigir e priorizar, criando um desafio significativo para as equipes de segurança.

Do Fuzzing à IA

A análise automatizada de código não é uma novidade, com o fuzzing sendo utilizado por grandes empresas para testar a robustez de aplicações. No entanto, a IA trouxe uma nova dimensão a essa prática, permitindo que modelos aprendam a ler o código-fonte e a identificar conexões entre falhas que poderiam passar despercebidas. Essa capacidade de raciocínio sobre como explorar vulnerabilidades em conjunto representa um avanço significativo na segurança cibernética.

Chrome recebe impulso

O Google corrigiu 1.072 vulnerabilidades nas versões 149 e 150 do Chrome, um número que supera as 1.036 vulnerabilidades corrigidas nas 23 versões anteriores. Esse aumento é atribuído em grande parte ao uso de inteligência artificial, que automatizou o processo de detecção de falhas. A empresa descreve essa mudança como uma transformação em escala industrial, onde encontrar falhas se tornou um procedimento ágil e eficiente.

Duas atualizações por semana

O Chrome já estava se preparando para um ciclo de lançamentos mais frequente, com grandes versões a cada duas semanas. Agora, a equipe de desenvolvimento está testando uma nova frequência de correções e atualizações, que ocorrerão duas vezes por semana. Embora isso signifique um navegador mais seguro, também implica em uma necessidade constante de atualizações, o que pode ser inconveniente para os usuários. O Google acredita que, eventualmente, essa frequência poderá ser reduzida à medida que as vulnerabilidades forem sendo resolvidas.

Firefox já previa isso

A Mozilla implementou uma versão de pré-visualização do Claude Mythos em seu navegador Firefox, identificando 271 vulnerabilidades na avaliação inicial do Firefox 150. Em testes anteriores com o Claude Opus 4.6, foram encontrados 22 problemas adicionais. A empresa afirma que o novo modelo da Anthropic é capaz de detectar todos os bugs que seriam identificáveis por humanos, demonstrando um avanço significativo na segurança do software.

Microsoft e suas atualizações de segurança

A atualização de segurança de julho de 2026 corrigiu 622 CVEs, superando o recorde anterior de 206 em junho. Este lote incluiu 59 vulnerabilidades críticas, sendo três delas zero-day. A Microsoft já havia alertado para o aumento de vulnerabilidades detectadas por IA, mas o volume de problemas encontrados superou suas expectativas, evidenciando um desafio contínuo na manutenção da segurança de seus softwares.

Caso da Oracle é ultrajante

Em sua atualização trimestral de julho, a Oracle lançou impressionantes 1.449 patches para seu software. Apenas 64 dessas vulnerabilidades foram detectadas por pesquisadores externos, indicando a eficácia da IA na identificação de falhas. Contudo, a quantidade de correções necessárias impõe um desafio para os clientes, que precisam atualizar todos os componentes antes que possíveis explorações possam ocorrer.

Muito barulho por nada?

É essencial considerar que nem todas as vulnerabilidades possuem a mesma gravidade. Dos 1.449 patches da Oracle, apenas dez foram classificados com a gravidade máxima. Em contraste, a Microsoft teve 59 falhas críticas. Embora os números sejam impressionantes, cabe aos administradores de sistemas discernir quais atualizações são prioritárias, evitando que o processo de correção cause novos problemas, um dilema conhecido como “o remédio é pior que a doença”.