Enxurrada De Falhas Descobertas Por IA Faz Vale Do Silício Trabalhar Contra O Relógio

Na noite de 21 de outubro, Fouad Matin, responsável pela preparação e segurança cibernética da OpenAI, deveria estar comemorando o aniversário com os amigos. Em vez disso, passou a madrugada — com cerca de duas horas de sono — coordenando a correção de duas vulnerabilidades críticas descobertas por inteligência artificial e que ameaçavam grande parte da internet. A cena, relatada pela New York Times nesta quinta-feira, 29, sintetiza o novo normal do Vale do Silício: a IA ficou tão boa em encontrar falhas que os engenheiros agora correm para consertá-las antes que criminosos as explorem.

"A IA realmente abre essa caixa de Pandora de vulnerabilidades", resumiu Matin. O verdadeiro objetivo, disse, é "examinar e corrigir o máximo possível do software existente no mundo".

Os Números Da Enxurrada

É pouco exagero chamar de enxurrada. Desde maio, quando a OpenAI começou a caçar vulnerabilidades em softwares de código aberto, seus modelos — usados por pesquisadores internos e externos — encontraram mais de 1.300 falhas. Em junho, o Google usou IA para encontrar e corrigir 1.072 falhas no Chrome, mais do que nos dois anos anteriores somados; no ano, ele corrigiu mais falhas graves que nos oito anos anteriores. E só neste mês, a Microsoft publicou 1.461 correções — contra 1.247 em todo 2025. Os números da manutenção repetem o padrão: o Node.js confirmou e corrigiu 50 vulnerabilidades este ano, recorde de sua história, depois de receber 4,6 vezes mais notificações que o normal em fevereiro; em janeiro, o projeto Curl largou o programa de recompensas, sufocado pelo volume de relatórios — alguns, puro ruído gerado por IA.

"Esse é o primeiro fluxo que está surgindo, e vai ficar dez vezes pior", resume Matteo Collina, mantenedor do Node.js, que trabalha sete dias por semana e delega a agentes de IA a vigília noturna enquanto ele dorme.

O Caso Do PHP E O Patch Gigantesco

O episódio mais delicado foi o do PHP, linguagem que sustenta cerca de 70% dos sites da internet. Em julho, pesquisadores da startup Calif voltaram seus agentes de IA para o código e encontraram uma falha escondida havia mais de uma década, capaz de permitir execução de código malicioso em qualquer site. Eles se juntaram a mantenedores da PHP Foundation, à Wiz (segurança do Google) e à própria OpenAI: canal secreto no Slack, ligações diárias e um "patch gigantesco" que alterou cerca de 200 arquivos, nas palavras do CEO da Calif, Thai Duong. Governo e Cloudflare foram avisados para distribuir a correção. Nos dois meses de operação, o CEO da Cloudflare, Matthew Prince, viveu "em estado absoluto de terror" de que outra pessoa encontrasse a falha antes — e projeta que, nos próximos dois anos, surgirá em média uma vulnerabilidade crítica de alcance global por semana.

Uma Profissão Que Muda De Forma

A IA superou rapidamente os hackers humanos: ela caça sem desistir, varre sistemas inteiros e soma falhas espalhadas por trechos diferentes para compor ataques perigosos. Num desafio da Vals AI contra uma empresa fictícia, um dos modelos mais avançados da OpenAI — disponível só a defensores autorizados — concluiu 81% dos objetivos; um modelo gratuito da DeepSeek chegou a 73%. Os veteranos sentem o chão tremer: "Há dois anos, era realmente muito legal encontrar uma falha de segurança. Esse prestígio praticamente desapareceu", diz Volker Dusch, da PHP Foundation. Já em abril, a Anthropic reconhecera que seu modelo Mythos era perigoso demais para o público e o entregou a um grupo restrito de empresas e governos. Os expertos estão divididos entre o pessimismo — Jason Clinton, da Anthropic, escreveu que "vai piorar muito antes de melhorar" — e a visão de Prince: "Estamos mais seguros num mundo onde essas falhas estão sendo descobertas. Vai parecer que o céu está caindo, mas sairemos do outro lado com uma internet muito mais segura."