Uma única noite de outubro bastou para Fouad Matin, chefe de segurança da OpenAI, trocar a festa de aniversário por uma maratona de correção de duas vulnerabilidades críticas descobertas por inteligência artificial — falhas que ameaçavam comprometer a espinha dorsal da internet. O episódio não é isolado: é o sintoma de uma avalanche que engenheiros do Vale do Silício mal conseguem conter.
O volume que ninguém esperava
Desde maio, a OpenAI passou a varrer códigos abertos com seus modelos. Resultado: mais de 1.300 falhas identificadas por pesquisadores internos e externos. Em junho, o Google usou IA para corrigir 1.072 brechas no Chrome — número superior ao total dos dois anos anteriores. Só neste mês, a Microsoft publicou 1.461 correções, superando as 1.247 de todo o ano passado.
“Este é o primeiro gotejamento; a situação vai ficar dez vezes pior”, alerta Matteo Collina, CTO da Platformatic e mantenedor do Node.js, usado por Uber e Netflix.
Projetos de código aberto sufocados
A enxurrada atinge em cheio a infraestrutura gratuita que sustenta a rede:
- Node.js: 50 vulnerabilidades confirmadas e corrigidas em 2024 — recorde histórico.
- PHP Foundation: IA encontrou falha crítica na linguagem que roda ~70% dos sites.
- Curl: encerrou programa de recompensas em janeiro, incapaz de processar o volume de relatórios.
Em fevereiro, o Node.js recebeu 4,6 vezes mais notificações que a média histórica. Muitas são “slop” — relatórios ruins gerados por IA —, mas outras descrevem ameaças reais e exploráveis.
Máquinas superam humanos na caça a bugs
A vantagem da IA não é apenas velocidade. Ela vasculha código sem fadiga, correlaciona microfalhas dispersas em vetores de ataque complexos e opera em escala impossível para times humanos. Dois anos atrás, descobrir uma vulnerabilidade rendia prestígio; hoje, “esse prestígio social meio que desapareceu”, diz Volker Dusch, engenheiro da PHP Foundation.
O modelo perigoso que não foi liberado
Em abril, a Anthropic revelou o Mythos, modelo tão hábil em invadir sistemas que a empresa recusou-se a lançá-lo publicamente. Em vez disso, criou o Project Glasswing: grupo restrito de empresas e governos de confiança que recebeu acesso antecipado para varrer suas próprias redes. OpenAI e Google seguiram caminho semelhante, compartilhando modelos defensivos com equipes autorizadas.
Testes reais: DeepSeek chega a 73%
A Vals AI submeteu vários modelos a um desafio de invasão a uma empresa fictícia. O modelo avançado da OpenAI (restrito a times de defesa) cumpriu 81% dos objetivos. O modelo gratuito da chinesa DeepSeek atingiu 73%. Ferramentas ofensivas poderosas já estão acessíveis — e a corrida para corrigir antes que atacantes as usem redefiniu prioridades no setor: menos features novas, mais defesa de legado.
O aviso do CEO da Cloudflare
Matthew Prince, à frente da Cloudflare, resume o cenário: “Nos últimos dois meses, vivi em estado de terror absoluto. Nos próximos dois anos, teremos uma vulnerabilidade crítica por semana afetando a internet inteira.” Jason Clinton, CISO da Anthropic, ecoa: “Por pior que esteja, vai piorar muito antes de melhorar.”
O que observar daqui pra frente
Dois cenários coexistem. O pessimista prevê colapso operacional: equipes incapazes de patchar na velocidade das descobertas. O otimista — defendido por Prince — aposta que, passado o caos, emergirá uma internet “muito mais segura” por ter exposto e corrigido décadas de dívida técnica invisível. Para líderes de TI e investidores, a métrica-chave nos próximos trimestres será tempo médio para correção (MTTR) versus taxa de novas falhas críticas semanais. Quem automatizar validação e deploy de patches em escala sairá na frente; quem depender de processos manuais ficará refém da próxima “caixa de Pandora”.
