Inteligência artificial gera onda de falhas de segurança no Vale do Silício

A ascensão da inteligência artificial no Vale do Silício provocou uma enxurrada sem precedentes de vulnerabilidades cibernéticas, deixando engenheiros e equipes de segurança sobrecarregados na tentativa de corrigir os problemas antes de ataques maliciosos.

Em 21 de outubro, Fouad Matin, encarregado da preparação e segurança cibernética da OpenAI, preparava-se para celebrar seu aniversário com amigos. Em vez disso, dormiu apenas cerca de duas horas enquanto coordenava ações para sanar duas falhas críticas detectadas por inteligência artificial, que colocavam em risco grande parte da internet. A operação envolveu pesquisadores de startups, gigantes tecnológicas e governos dos Estados Unidos e de outros países.

Outras falhas detectadas por IA aguardavam na lista de Matin. A OpenAI mantém várias divisões voltadas à cibersegurança e tem direcionado alto poder computacional para rastrear e solucionar falhas, conforme relatou.

A inteligência artificial “realmente abre essa caixa de Pandora de vulnerabilidades”, afirmou Matin. Segundo ele, as companhias de IA assumem a responsabilidade de identificar e consertar tais brechas, pois “o verdadeiro objetivo é examinar e corrigir o máximo possível dos programas de computador do mundo”.

O impacto no ecossistema digital

Profissionais de tecnologia em todo o Vale do Silício lidam com uma transformação profunda na cibersegurança. Com a alta eficiência da IA em apontar erros em softwares, equipes enfrentam um fluxo repentino de alertas e sofrem para implementar correções a tempo. O setor tem investido mais tempo e recursos na mitigação de riscos, gerando pânico entre alguns especialistas.

O volume de problemas tem sido avassalador. Em maio, a OpenAI passou a empregar sua tecnologia para analisar softwares de código aberto, amplamente adotados por sua gratuidade e por sustentarem a base da internet. Até o momento, a empresa aponta que seus modelos foram aplicados por investigadores internos e externos para detectar mais de 1.300 falhas.

Em junho, o Google recorreu à inteligência artificial para localizar e solucionar 1.072 falhas em seu navegador, o Chrome, superando a soma de correções dos dois anos anteriores. No atual ano, a companhia já solucionou mais brechas graves do que nos oito anos passados somados. Apenas no mês em curso, a Microsoft liberou 1.461 atualizações de segurança, ultrapassando as 1.247 disponibilizadas ao longo de todo o ano de 2025.

Isso pode ser apenas o começo. “Este é o primeiro gotejamento, e a situação vai ficar dez vezes pior”, pontuou Matteo Collina, diretor de tecnologia da startup Platformatic, que também colabora na manutenção do Node.js, utilitário gratuito adotado por gigantes como Uber e Netflix.

O Node.js registrou um salto nas notificações, tendo validado e consertado 50 vulnerabilidades neste ano, o maior patamar de sua história, conforme a OpenJS Foundation, entidade sem fins lucrativos que gerencia o projeto. Neste mês, a OpenAI alertou Collina sobre uma brecha que poderia conceder a invasores acesso a sistemas globais e roubo de dados.

A mudança na dinâmica de segurança

Historicamente, a varredura por falhas dependia primordialmente de humanos. Grandes empresas contratavam especialistas para auditar códigos e gerenciavam programas de bug bounties para bonificar hackers éticos por descobertas de vulnerabilidades.

“Dois anos atrás, encontrar uma vulnerabilidade de segurança era algo realmente legal”, declarou Volker Dusch, engenheiro de segurança da PHP Foundation, coletivo que administra a linguagem PHP. Na semana passada, o grupo reportou que a inteligência artificial descobriu uma brecha crítica em seu código. “Esse prestígio social meio que desapareceu. A maneira como isso é valorizado está mudando.”

A inteligência artificial ultrapassou a velocidade humana. A tecnologia conduz varreduras ininterruptas e opera em larga escala, cruzando pequenas falhas dispersas em diferentes trechos de código para desenhar ataques complexos.

Os reflexos disso apareceram no fim do ano passado, quando desenvolvedores de código aberto notaram um salto nos avisos de falhas. Parte consistia em slop — relatos confusos e sem testes gerados por IA —, mas outros apontavam ameaças reais.

Em janeiro, o projeto Curl informou o encerramento de pagamentos de recompensas por falhas devido ao excesso de avisos. Em fevereiro, o Node.js lidou com um volume de relatos 4,6 vezes superior ao normal.

Em abril, cresceram os temores de um colapso na internet provocado por IA. A Anthropic revelou o modelo Mythos, considerado tão eficiente em invasões que sua liberação pública seria arriscada. Em vez disso, o acesso foi restrito a um grupo de empresas e governos chamado Project Glasswing para auditoria de sistemas. OpenAI e Google também criaram modelos de cibersegurança voltados para equipes de defesa.

No entanto, modelos capazes de identificar e explorar falhas tornaram-se acessíveis. A Vals AI testou sistemas de IA em um desafio de invasão a uma empresa fictícia: um modelo avançado da OpenAI cumpriu 81% dos objetivos, seguido por uma versão gratuita da startup chinesa DeepSeek, que completou 73%.

Essa realidade impulsionou uma corrida no Vale do Silício para corrigir falhas antes de hackers, fazendo com que muitas funções de tecnologia migrassem do desenvolvimento de novos recursos para a defesa de sistemas.

Em julho, pesquisadores da Calif direcionaram agentes de inteligência artificial ao PHP, linguagem presente em cerca de 70% dos sites, descobrindo uma falha oculta há mais de uma década que permitia execução de códigos maliciosos.

“Nos últimos dois meses, tenho vivido em um estado de terror absoluto, com medo de que outra pessoa encontrasse a falha ou de que as informações vazassem antes que todos tivessem implementado as correções”, disse Matthew Prince, presidente-executivo da Cloudflare. “Nos próximos dois anos, viveremos em um cenário em que, em média, haverá toda semana uma vulnerabilidade crítica que afetará a internet inteira.”

Para certos especialistas, a onda de falhas prenuncia uma catástrofe. “Por pior que a situação tenha ficado nos últimos quatro dias, ela vai piorar muito antes de melhorar”, escreveu Jason Clinton, vice-diretor de segurança da informação da Anthropic, em rede social em 22 de outubro.

Outros vislumbram perspectivas positivas. “Na verdade, você está mais seguro em um mundo no qual conseguimos encontrar esses problemas”, ponderou Prince. “Nos próximos dois anos, vai parecer que o céu está desabando, mas acredito que sairemos do outro lado com uma internet muito mais segura.”