OpenAI anuncia o uso de IA avançada para descobrir vulnerabilidades graves em PHP e une forças com agências de segurança globais para lançar operações de reparo de emergência

Resumo:

A OpenAI emitiu um comunicado em 21 de outubro de 2026, divulgando sua participação na descoberta e coordenação do reparo de duas graves vulnerabilidades de segurança na linguagem de programação PHP. Esta ação é promovida pelo programa “Patch the Planet” (remendar toda a Internet) lançado pela OpenAI, que une mantenedores de software, pesquisadores de segurança, provedores de serviços em nuvem e agências governamentais de segurança de redes para reduzir conjuntamente os riscos causados ​​por vulnerabilidades à infraestrutura global da Internet.

Neste incidente, a empresa de segurança Calif descobriu uma grave falha de segurança usando o GPT-5.6 Sol, e a empresa de segurança Wiz descobriu e relatou de forma independente duas vulnerabilidades relacionadas. A equipe de manutenção do PHP é responsável por liderar correções de vulnerabilidades e lançamentos de versões de segurança, enquanto OpenAI, Wiz, Cloudflare e outros parceiros fornecem pesquisa técnica, suporte de engenharia e coordenação para ajudar organizações relevantes a se prepararem para a proteção antes que as vulnerabilidades se tornem públicas.

PHP é uma linguagem de programação de código aberto amplamente utilizada em sites e aplicativos de rede. Um grande número de serviços de Internet depende dele para lidar com solicitações de páginas da Web, operações de banco de dados e lógica de negócios em segundo plano. Portanto, existe uma vulnerabilidade grave na camada inferior do PHP, e o impacto pode se espalhar rapidamente para muitos sites, serviços em nuvem e sistemas empresariais. Ambas as vulnerabilidades descobertas desta vez são classificadas como críticas e podem permitir que um invasor execute código remotamente sem autenticação. A equipe de desenvolvimento do PHP lançou uma versão corrigida em 21 de outubro e incentiva os usuários a atualizarem imediatamente.

A OpenAI afirmou que este incidente destaca o duplo papel da inteligência artificial no campo da segurança de rede. Por um lado, modelos avançados podem ajudar os pesquisadores a descobrir falhas que estão ocultas há muito tempo em softwares maduros; por outro lado, as mesmas capacidades também podem ser utilizadas pelos atacantes para desenvolver rapidamente ferramentas de exploração e programas de ataque. Portanto, a equipe de segurança não pode apenas se concentrar em saber se a vulnerabilidade pode ser descoberta, mas também deve estabelecer um mecanismo eficiente para garantir que a vulnerabilidade seja reparada em tempo hábil e reduzir o risco de ataque tanto quanto possível antes que os patches relevantes sejam implantados.

A OpenAI afirmou que, de acordo com as informações de que dispõe atualmente, a vulnerabilidade foi descoberta com a ajuda de inteligência artificial avançada antes que o invasor a descobrisse e explorasse. Isso proporciona um tempo valioso de preparação de defesa para os mantenedores de software. A empresa chama esta fase de “Janela do Defensor”, que é a janela de tempo durante a qual os defensores podem identificar problemas, desenvolver planos de remediação e implementar medidas de proteção antes que os invasores o façam.

No entanto, esta janela nem sempre existirá. À medida que as capacidades dos modelos de inteligência artificial continuam a melhorar, o intervalo de tempo entre a descoberta de vulnerabilidades e o desenvolvimento de métodos de ataque pode diminuir gradualmente. A OpenAI acredita que a indústria de segurança cibernética precisa mudar de uma abordagem de tratamento de vulnerabilidades relativamente descentralizada no passado para um mecanismo de resposta sistemático que possa coordenar rapidamente mantenedores de software, provedores de serviços, operadores empresariais e agências governamentais.

Para este fim, a OpenAI propôs uma estrutura de resposta coordenada para vulnerabilidades graves, que inclui principalmente cinco estágios.

Primeiro, os mantenedores de software, os pesquisadores e os principais parceiros tecnológicos precisam trabalhar juntos para verificar vulnerabilidades, avaliar seu escopo e desenvolver e testar correções. Nesta fase, a equipe também deve usar modelos avançados para realizar testes adversários para verificar se o patch pode realmente impedir o ataque e procurar possíveis variantes de vulnerabilidade relevantes para evitar apenas corrigir problemas superficiais, mas perder outros caminhos exploráveis.

Em segundo lugar, deve ser concedido tempo de preparação suficiente às organizações afetadas. Diferentes organizações têm diferentes tarefas de proteção: os editores de software podem precisar portar patches para versões mais antigas, os provedores de serviços de hospedagem em nuvem precisam verificar medidas de mitigação temporárias e as empresas de segurança de rede podem precisar preparar antecipadamente regras de detecção ou estratégias de proteção do Web Application Firewall (WAF). A OpenAI propôs que as informações técnicas necessárias fossem fornecidas em etapas, com base nas responsabilidades reais de proteção de cada participante, e o risco de vazamento deveria ser reduzido por meio de acordos de compartilhamento de informações e mecanismos de coordenação especializados.

Terceiro, é necessária cooperação com agências governamentais de segurança cibernética para garantir que os operadores de infraestruturas críticas recebam alertas e recomendações de proteção em tempo hábil. No incidente de vulnerabilidade do PHP, a OpenAI e seus parceiros contataram vários departamentos governamentais e agências de segurança cibernética dos EUA, incluindo a Força-Tarefa de Superinteligência da Casa Branca, o Escritório do Diretor Nacional Cibernético e a Agência de Segurança Cibernética e de Infraestrutura (CISA), e coordenaram com parceiros internacionais.

Quarto, após a estabilização do plano de correção e do plano de divulgação pública, o escopo de participação deve ser expandido para permitir que mais editores de software, provedores de serviços em nuvem, provedores de serviços de hospedagem e equipes de segurança corporativa preparem atualizações com antecedência. Para organizações que ainda usam versões mais antigas de software e não podem instalar diretamente os patches mais recentes, elas também precisam avaliar a viabilidade de reverter patches ou outras medidas de proteção temporárias.

Quinto, após o lançamento oficial do patch, diretrizes claras de reparo devem ser fornecidas ao público para ajudar os usuários a confirmar se seus sistemas foram afetados, qual versão deve ser instalada e como verificar se o reparo é eficaz. Todo o processo de resposta não termina imediatamente quando o patch é lançado. A equipe de segurança também precisa continuar acompanhando a implantação e ajudar as organizações que ainda não concluíram a atualização a lidar com problemas reais.

A OpenAI apontou especificamente que existem dilemas óbvios no compartilhamento antecipado de informações sobre vulnerabilidades. Por um lado, os fornecedores de serviços em nuvem, os fornecedores de segurança de rede e os operadores de infraestruturas críticas necessitam de detalhes técnicos suficientes para preparar eficazmente medidas de proteção; por outro lado, mesmo informações limitadas sobre vulnerabilidade podem ajudar os invasores a inferir a localização específica da falha. Portanto, as informações relevantes devem ser fornecidas em etapas, com base nas responsabilidades de proteção dos participantes, nas necessidades de tempo de preparação e na capacidade de lidar com informações confidenciais.

O cronograma de divulgação original também deve ser reavaliado se a exploração real da vulnerabilidade começar, se houver vazamento acidental de detalhes técnicos ou se o próprio patch público expor a localização da vulnerabilidade. A OpenAI acredita que os mecanismos de coordenação devem ser capazes de se ajustar rapidamente à medida que as ameaças mudam, em vez de seguir mecanicamente prazos fixos.

Para ajudar mais organizações a agir, a OpenAI afirmou que fornecerá ferramentas de verificação de versão PHP e planeja lançar habilidades de suporte do Codex para ajudar os operadores de sistema a identificar versões PHP potencialmente arriscadas e determinar planos de atualização aplicáveis ​​com base nas diretrizes oficiais do PHP e do provedor de serviços. A OpenAI também agrega informações de divulgação de vulnerabilidades e guias de proteção por meio do projeto “Patch the Planet” para ajudar os administradores a encontrar patches autorizados, compreender medidas de mitigação temporárias e verificar se as atualizações são realmente implantadas.

Em termos de suporte de recursos, a OpenAI promete fornecer acesso subsidiado ao serviço Daybreak no valor de US$ 1 bilhão por meio do programa "Daybreak for Frontline Defenders", com foco em ajudar organizações com recursos de segurança limitados, mas responsáveis ​​por tarefas críticas de proteção de serviços. A empresa também fornecerá suporte de assinatura para mantenedores de software de código aberto por meio do Codex for OSS e patrocinará diretamente projetos como a Rust Foundation para fornecer recursos para trabalhos de manutenção e melhorias técnicas.

A OpenAI destacou que as equipes de manutenção de projetos de software de código aberto geralmente são limitadas em tamanho. Além do trabalho diário de desenvolvimento, eles também precisam lidar com relatórios de segurança, determinar o impacto das vulnerabilidades, verificar patches e ser compatíveis com diversas versões de software. Essas tarefas são demoradas e a inteligência artificial pode auxiliar na análise de código, identificação de relatórios duplicados, redação de testes e verificação de correções, reduzindo assim a carga de trabalho dos mantenedores.

Além de descobrir e corrigir vulnerabilidades individuais, a OpenAI também propõe que as falhas de segurança sejam reduzidas desde a fase de design do software. A empresa acredita que a IA pode ajudar os engenheiros a escolher padrões mais seguros, usar bibliotecas de segurança corretamente e detectar padrões de código perigosos no início do processo de desenvolvimento.

Outra direção importante é a migração dos principais componentes de software para linguagens seguras de memória. Muitas vulnerabilidades críticas resultam de erros de gerenciamento de memória, como acesso à memória que já foi liberada ou ocorrências de buffer fora dos limites. Usar uma linguagem com garantias de segurança de memória pode eliminar uma grande classe de defeitos comuns em sua origem. A inteligência artificial pode ajudar na migração de código, mas o comportamento, a compatibilidade e a segurança pós-migração ainda exigem testes e revisão profissional.

OpenAI também enfatiza a verificação formal e mecanismos de isolamento mais fortes. A verificação formal utiliza métodos matemáticos para provar que um programa satisfaz propriedades de segurança específicas sob pressupostos explícitos, ajudando a melhorar a fiabilidade dos componentes principais; a tecnologia sandbox pode limitar o software que processa arquivos, imagens ou conteúdo de mídia não confiáveis ​​a um ambiente controlado. Mesmo que o programa esteja comprometido, pode reduzir a oportunidade para os invasores controlarem ainda mais todo o sistema.

Ao mesmo tempo, a empresa reconhece que a expansão do uso de inteligência artificial na segurança cibernética também exigirá medidas antiabuso mais sofisticadas. A OpenAI está ajustando ainda mais o classificador de segurança do Daybreak em um esforço para reduzir o risco de a ferramenta ser usada para ataques maliciosos. No entanto, a empresa disse que restrições demasiado rigorosas também podem impedir a investigação legítima de segurança, pelo que deve ser alcançado um equilíbrio entre a abertura das capacidades de defesa e a prevenção da utilização maliciosa.

A OpenAI finalmente apela aos mantenedores de software, pesquisadores, provedores de serviços de segurança de rede e operadores empresariais para trabalharem juntos para melhorar esta estrutura. A empresa espera concentrar-se em diversas questões: quanto tempo deve ser concedido aos defensores para se prepararem antes que uma vulnerabilidade se torne pública; quando vulnerabilidades críticas podem ser divulgadas antecipadamente; quais organizações precisam ser alertadas antecipadamente; e como fornecer patches de reversão e alternativas de segurança de maneira confiável quando a atualização de versões mais antigas de software não puder ser feita em tempo hábil.

A OpenAI também propôs um cenário futuro mais controverso: os sistemas da Internet podem estabelecer gradualmente um mecanismo contínuo de verificação de vulnerabilidades, notificar os proprietários de sites quando vulnerabilidades conhecidas forem descobertas e até mesmo corrigir diretamente o sistema com a autorização apropriada. No entanto, este tipo de abordagem envolve propriedade do sistema, permissões de gestão, riscos de mau funcionamento e limites de responsabilidade, e ainda é necessário estabelecer garantias técnicas e de governação rigorosas.

Este incidente de vulnerabilidade do PHP mostra que a inteligência artificial está mudando a forma como a segurança da rede funciona. No passado, a descoberta, a análise, a reparação e a implantação em larga escala de vulnerabilidades graves exigiam frequentemente uma coordenação a longo prazo entre múltiplas equipas; hoje, modelos avançados podem acelerar a pesquisa de vulnerabilidades, mas proteger verdadeiramente a Internet ainda depende de os mantenedores de software, provedores de serviços em nuvem, empresas e agências governamentais poderem agir rapidamente.

Para a OpenAI, "Patch the Planet" não é apenas uma resposta de emergência às vulnerabilidades do PHP, mas também um exercício de exploração de um mecanismo coordenado de divulgação de vulnerabilidades na era da inteligência artificial. À medida que a capacidade da inteligência artificial para descobrir falhas de segurança continua a aumentar, a chave para a concorrência em matéria de cibersegurança no futuro poderá já não ser apenas encontrar primeiro a vulnerabilidade, mas sim saber quem pode verificar o problema mais rapidamente, corrigir o código e proteger os sistemas afetados em todo o mundo em tempo útil.

Artigos relacionados:

O PHP expôs sérias vulnerabilidades de segurança, e os operadores globais de sites entraram urgentemente em um estado de correção

Duas vulnerabilidades graves podem levar à execução remota de código no servidor PHP patch de segurança de emergência oficial