Em 21 de outubro, Fouad Matin, responsável pelos esforços de preparação e segurança cibernética da OpenAI, tinha planos simples: curtir a noite com amigos para celebrar o próprio aniversário. Mas a realidade foi bem diferente — ele acabou operando com cerca de duas horas de sono enquanto ajudava a coordenar a correção de duas vulnerabilidades críticas que ameaçavam atingir boa parte da internet. O caso mobilizou pesquisadores de segurança de startups, gigantes da tecnologia e até autoridades governamentais de vários países, incluindo os Estados Unidos.
E a fila não parou por aí: mais falhas descobertas por IA continuavam chegando à mesa de Matin. Segundo ele, a OpenAI mantém diversas equipes dedicadas exclusivamente à cibersegurança e tem direcionado uma quantidade expressiva de capacidade computacional só para caçar e corrigir esse tipo de problema.
Falhas descobertas por IA viram rotina no Vale do Silício
Segundo Matin, a inteligência artificial “realmente abre essa caixa de Pandora de vulnerabilidades”. Para ele, as empresas de IA têm a responsabilidade de encontrar e corrigir essas brechas, já que “o verdadeiro objetivo é examinar e corrigir o máximo possível do software existente no mundo”.
Essa realidade vem se espalhando por todo o Vale do Silício. A inteligência artificial se mostrou tão afiada em identificar falhas de software que engenheiros agora correm contra o tempo para corrigir problemas antes que hackers os explorem. Por isso, empresas estão dedicando cada vez mais tempo e recursos ao tema — e alguns especialistas já não escondem a preocupação.
Os números ajudam a entender o tamanho do fenômeno. Em maio, a OpenAI começou a usar sua própria tecnologia para vasculhar softwares de código aberto, amplamente usados por serem gratuitos e sustentarem grande parte da internet. Até agora, a empresa afirma que seus modelos foram usados por pesquisadores internos e externos para encontrar mais de 1.300 falhas.
O Google seguiu caminho parecido: em junho, usou IA para encontrar e corrigir 1.072 falhas no navegador Chrome, mais do que havia corrigido nos dois anos anteriores somados. Neste ano, a empresa já corrigiu mais falhas graves do que nos oito anos anteriores combinados. Já a Microsoft, somente neste mês, publicou 1.461 correções — número maior do que as 1.247 divulgadas durante todo o ano de 2025.
“Vai ficar dez vezes pior”, alerta especialista
Apesar de impressionante, esse volume pode ser só o início. “Esse é o primeiro fluxo que está surgindo, e vai ficar dez vezes pior”, afirmou Matteo Collina, diretor de tecnologia da startup Platformatic e um dos mantenedores do Node.js, ferramenta gratuita usada por empresas como Uber e Netflix.
O próprio Node.js sentiu o impacto: a OpenJS Foundation, organização sem fins lucrativos responsável pelo projeto, confirmou e corrigiu 50 vulnerabilidades neste ano, número recorde na história da ferramenta. Inclusive, neste mês a OpenAI entrou em contato diretamente com Collina para alertá-lo sobre uma falha que poderia permitir a invasão de sistemas em toda a internet e o roubo de dados.
Diante desse cenário, Collina diz estar trabalhando sete dias por semana, contando ainda com agentes de IA para atuar em seu nome durante a madrugada. “Ninguém sabe mais como essa profissão será daqui para frente”, resumiu.
De atividade humana a corrida tecnológica
Até pouco tempo atrás, caçar falhas era basicamente trabalho humano. Grandes empresas de tecnologia contratavam pesquisadores de segurança para vasculhar seus códigos e criavam programas de recompensa para hackers éticos dispostos a apontar vulnerabilidades.
“Há dois anos, era realmente muito legal encontrar uma falha de segurança”, disse Volker Dusch, engenheiro de segurança da PHP Foundation. “Esse prestígio praticamente desapareceu. A forma como isso é valorizado está mudando completamente.”
Na semana passada, inclusive, a própria PHP Foundation revelou que uma vulnerabilidade crítica em seu código foi descoberta por IA — mais um sinal de que a tecnologia já superou os hackers humanos em velocidade e fôlego. Afinal, a IA consegue trabalhar de forma incansável, analisando sistemas inteiros em busca de brechas e combinando pequenas falhas espalhadas por diferentes trechos de código para montar ataques mais perigosos.
Esse impacto ficou evidente ainda no fim do ano passado, quando desenvolvedores de softwares de código aberto notaram uma alta expressiva nos relatórios de vulnerabilidades. Nem tudo era relevante — parte era apenas ruído gerado por IA sem testes adequados —, mas outra parte apontava ameaças reais. No fim de janeiro, por exemplo, o projeto Curl anunciou que deixaria de pagar recompensas por falhas devido ao volume excessivo de relatórios recebidos. Já em fevereiro, o Node.js passou a receber 4,6 vezes mais notificações do que o normal.
Modelos de IA cada vez mais poderosos — e preocupantes
Em abril, o temor de um colapso da internet provocado por IA cresceu ainda mais. A Anthropic afirmou ter desenvolvido um modelo chamado Mythos, tão competente em invasões digitais que não poderia ser liberado ao público com segurança. Em vez disso, a empresa concedeu acesso restrito a um grupo seleto de companhias e governos, batizado de Project Glasswing, justamente para examinar sistemas e corrigir falhas. OpenAI e Google seguiram caminho semelhante, desenvolvendo modelos especializados em cibersegurança e compartilhando-os com defensores da área.
No entanto, ferramentas capazes de encontrar e explorar vulnerabilidades já se tornaram amplamente acessíveis. A Vals AI, empresa que avalia o desempenho de tecnologias de IA, submeteu recentemente diversos modelos a um desafio de segurança envolvendo a invasão de uma empresa fictícia. Segundo a companhia, um dos modelos mais avançados da OpenAI, disponível apenas a defensores autorizados, concluiu 81% dos objetivos do teste. Logo atrás veio um modelo gratuito da startup chinesa DeepSeek, com 73% das tarefas concluídas.
O caso PHP e a corrida contra o relógio
Com ferramentas tão poderosas circulando livremente, o Vale do Silício entrou numa verdadeira corrida para encontrar e corrigir vulnerabilidades antes que criminosos digitais o façam. Como resultado, muitos profissionais deixaram de lado a criação de novas tecnologias para se dedicar à proteção das que já existem.
Um exemplo concreto aconteceu em julho, quando pesquisadores da empresa de cibersegurança Calif voltaram sua atenção — e seus agentes de IA — para o PHP, linguagem usada na construção de cerca de 70% dos sites da internet. Eles descobriram uma vulnerabilidade escondida no código havia mais de uma década, capaz de permitir a execução de código malicioso em qualquer um desses sites.
Os pesquisadores então se uniram a Dusch e a especialistas da Wiz, empresa de segurança controlada pelo Google, que já haviam identificado uma falha parecida. Juntos, passaram semanas corrigindo o problema ao lado de integrantes da OpenAI e da PHP Foundation, reunidos em um canal secreto no Slack e com ligações diárias para alinhar o reparo.
- A correção exigiu alterações em cerca de 200 arquivos, segundo Thai Duong, CEO da Calif, que descreveu a atualização como “um patch gigantesco”.
- Enquanto preparava a correção, o grupo notificou organizações capazes de disseminá-la amplamente, incluindo governos e a Cloudflare.
“Nos últimos dois meses, vivi em um estado de absoluto terror de que outra pessoa encontrasse a falha ou que as informações vazassem antes que todos tivessem as correções instaladas”, disse Matthew Prince, CEO da Cloudflare. “Nos próximos dois anos, viveremos em uma realidade na qual, em média, surgirá uma vulnerabilidade crítica desse tipo com frequência cada vez maior.”
Em resumo, o episódio mostra como as falhas descobertas por IA deixaram de ser exceção para se tornar parte do dia a dia de quem trabalha com segurança digital. Se por um lado a tecnologia acelera a identificação de brechas perigosas, por outro, exige que empresas, governos e desenvolvedores repensem completamente a forma como protegem — e correm atrás — da internet que sustenta boa parte da vida moderna.
Com informações de infomoney.com.br.
