Resumo:
De acordo com o New York Times, a IA está descobrindo vulnerabilidades de segurança de software em um ritmo sem precedentes, e os engenheiros responsáveis por corrigi-las estão achando cada vez mais difícil acompanhar. As empresas de tecnologia e os mantenedores de software de código aberto estão correndo para corrigir as vulnerabilidades antes que os hackers possam explorá-las para proteger o software que alimenta uma ampla gama de sites e serviços online.
Em 21 de outubro, Fouad Matin, responsável pela preparação e trabalho de segurança da rede OpenAI, planejou originalmente comemorar seu aniversário com amigos à noite.
Mas naquele dia, ele dormiu apenas cerca de duas horas e estava ocupado coordenando o reparo de duas vulnerabilidades graves de segurança descobertas pela IA. Uma vez exploradas, estas vulnerabilidades podem ter impacto numa vasta gama de serviços de Internet. Os envolvidos no processamento incluem pesquisadores de segurança de startups e gigantes da tecnologia, bem como funcionários do governo dos Estados Unidos e de outros países.
Em sua lista de tarefas, há mais lacunas descobertas pela IA esperando para serem corrigidas.
Mateen disse que a OpenAI organizou várias equipes para serem responsáveis pela segurança da rede e investiu muito poder computacional para encontrar e corrigir problemas. Ele acredita que as empresas de IA têm a responsabilidade de enfrentar os riscos revelados por esta tecnologia, com o objetivo final de analisar e corrigir o software mundial, tanto quanto possível.
A velocidade de descoberta de vulnerabilidades aumentou significativamente, o que está exercendo uma pressão sem precedentes sobre aqueles que corrigem as vulnerabilidades.
De acordo com a OpenAI, a empresa começou a usar tecnologia própria para escanear software de código aberto em maio deste ano. Desde então, pesquisadores internos e externos descobriram mais de 1.300 vulnerabilidades utilizando seu modelo. Este tipo de software pode ser usado gratuitamente, é amplamente implantado em vários serviços de rede e suporta um grande número de funções da Internet.
O Google também usou IA para descobrir e corrigir 1.072 vulnerabilidades no navegador Chrome em junho deste ano, superando o número total corrigido nos dois anos anteriores. Desde o início deste ano, o Chrome corrigiu vulnerabilidades mais graves do que nos oito anos anteriores juntos.
A Microsoft lançou 1.461 patches somente em outubro deste ano, superando os 1.247 patches de todo o ano de 2025.
Aos olhos de alguns mantenedores de software, essa intensidade de trabalho pode estar apenas começando.
Matteo Collina é diretor de tecnologia da startup Platformmatic e está envolvido na manutenção da ferramenta de desenvolvimento de código aberto Node.js. Empresas de tecnologia como Uber e Netflix estão usando essa ferramenta.
"O que está acontecendo agora é apenas o primeiro momento e a situação será dez vezes pior." Colina disse.
De acordo com a OpenJS Foundation, uma organização sem fins lucrativos que apoia o Node.js, o Node.js identificou e corrigiu 50 vulnerabilidades de segurança este ano, mais do que em qualquer ano de sua história. Em fevereiro deste ano, o projeto recebeu 4,6 vezes o número habitual de relatórios de vulnerabilidade.
Este mês, a OpenAI entrou em contato com Colina novamente para alertá-lo sobre uma vulnerabilidade recém-descoberta. Potenciais invasores podem usá-lo para invadir sistemas na Internet e roubar dados.
Para lidar com o número crescente de denúncias, Colina agora trabalha sete dias por semana e permite que o agente de IA continue a cuidar das tarefas para ele à noite.
"Ninguém sabe o que esta profissão se tornará no futuro." Ele disse.
No passado, encontrar vulnerabilidades de software era uma tarefa que dependia muito da experiência pessoal. As empresas de tecnologia contratam pesquisadores de segurança para revisar o código e também pagam hackers de chapéu branco para encontrar e relatar problemas por meio de programas de “recompensa de bugs”.
A IA está mudando a velocidade e o valor desse trabalho.
Ele pode continuar pesquisando, descobrindo onde os pesquisadores humanos poderiam ter desistido. Ele também pode examinar pequenas falhas espalhadas por diferentes códigos e combiná-las em ataques perigosos.
Volker Dusch, engenheiro de segurança da PHP Foundation, sente isso claramente. A fundação, que mantém a linguagem de programação PHP, divulgou na semana passada uma grave vulnerabilidade descoberta pela IA.
Dusch disse que há dois anos descobrir uma vulnerabilidade de segurança era um grande problema. Agora, o reconhecimento dos pares que isso traz está a diminuir e a forma como toda a indústria avalia este trabalho está a mudar.
No entanto, o aumento nos relatórios de vulnerabilidades também acarreta um fardo adicional significativo.
Desde o final do ano passado, os mantenedores de software de código aberto notaram um aumento significativo no número de relatórios. Alguns deles revelam ameaças graves, outros são relatórios gerados por IA de baixa qualidade, confusos e não testados.
No final de janeiro deste ano, o projeto de código aberto curl anunciou que iria parar de pagar recompensas por bugs porque não conseguia lidar com o fluxo de relatórios.
Ao mesmo tempo, as capacidades ofensivas da IA também deixam os defensores cada vez mais nervosos.
Em abril deste ano, a Anthropic declarou que o modelo Mythos que desenvolveu tinha fortes capacidades de hacking e não poderia ser aberto ao público com segurança. A empresa então disponibilizou o modelo para um grupo de empresas confiáveis e agências governamentais para inspecionar e corrigir sistemas por meio de um programa chamado Projeto Glasswing. OpenAI e Google também fornecem modelos de IA focados em segurança cibernética para os defensores.
Mas os modelos que podem encontrar e explorar vulnerabilidades estão se tornando cada vez mais disponíveis.
A empresa de avaliação de IA Vals AI configurou recentemente uma tarefa de ataque simulado, exigindo que o modelo invadisse uma empresa fictícia. Os resultados do teste mostraram que um modelo avançado da OpenAI, aberto apenas para defensores aprovados, completou 81% das metas do teste; seguido de perto por um modelo disponível gratuitamente da empresa chinesa DeepSeek, com uma taxa de conclusão de 73%.
À medida que essas capacidades proliferam, as equipes de segurança do Vale do Silício aceleram as investigações. Eles temem que a mesma vulnerabilidade possa ser descoberta em breve pelos invasores.
Um processo de reparo do PHP mostra exatamente sobre quem recai essa pressão.
Em julho deste ano, pesquisadores da empresa de segurança cibernética Calif começaram a permitir que agentes de IA inspecionassem o PHP. Segundo relatos, cerca de 70% dos sites utilizam essa linguagem de programação. Uma equipe de pesquisa descobriu que uma vulnerabilidade oculta no código há mais de uma década poderia permitir que invasores executassem códigos maliciosos em sites afetados.
Calif então contatou Dusch e pesquisadores da Wiz, uma empresa de segurança de propriedade do Google que descobriu vulnerabilidades semelhantes. Engenheiros da OpenAI e da PHP Foundation também estão envolvidos.
A equipe colaborou em um canal confidencial do Slack durante semanas, coordenando correções por telefone todos os dias. O CEO da Califórnia, Thai Duong, disse que a correção envolve cerca de 200 arquivos e é uma grande atualização de patch.
Enquanto preparavam o patch, eles também notificaram agências governamentais, a empresa de infraestrutura de Internet Cloudflare e outras organizações, na esperança de expandir a cobertura de reparos tanto quanto possível.
O período em que a vulnerabilidade foi encontrada, mas não foi extensivamente reparada, tornou-se a fase mais estressante para os participantes.
O CEO da Cloudflare, Matthew Prince, disse que passou os últimos dois meses em um estado de extremo medo de que alguém descobrisse a vulnerabilidade mais cedo ou que a informação vazasse antes que um patch estivesse pronto.
Ele prevê que nos próximos dois anos, em média, uma vulnerabilidade grave aparecerá a cada semana, afetando toda a Internet.
Na indústria de segurança, existem diferentes julgamentos sobre a próxima situação.
O vice-diretor de segurança da informação da Anthropic, Jason Clinton, disse nas redes sociais em 22 de outubro que, embora a situação nos últimos quatro dias tenha sido ruim, ela piorará no futuro antes de melhorar.
Prince acredita que a descoberta desses problemas de longa data tornará a Internet mais segura. Ele prevê que os próximos dois anos serão muito ruins, mas depois que essa rodada de reparos for concluída, as pessoas podem esperar uma Internet muito mais segura.
Comentários