A IA pode revelar mais vulnerabilidades do que nunca. Ainda cabe aos humanos decidir o que fazer a seguir.

Durante anos, as equipes de cibersegurança partiram de uma premissa simples: se conseguíssemos encontrar mais vulnerabilidades com mais rapidez, tornaríamos o software mais seguro.

A inteligência artificial está pondo essa premissa à prova. À medida que o debate mais amplo sobre IA deixa de se concentrar na adoção rápida e passa a buscar valor mensurável, a cibersegurança expõe um desafio que não desaparecerá se o ritmo de avanço da IA diminuir. As organizações já enfrentam um volume crescente de vulnerabilidades identificadas por IA que ainda exigem validação, priorização e correção por pessoas.

As descobertas recentes do Projeto Glasswing oferecem um dos exemplos mais claros até agora. Segundo relatos, Claude Mythos Preview identificou mais de 26.000 vulnerabilidades em projetos de software em apenas alguns meses. No entanto, de acordo com uma análise independente do registro público de divulgações do Glasswing, apenas cerca de 10% dessas descobertas chegaram à etapa de divulgação, e menos de 1% acabaram corrigidas.

Esses números impressionam, mas não deveriam surpreender. Há décadas, o setor se dedica a otimizar a descoberta de vulnerabilidades. O que não desenvolveu foi a capacidade de processar essas descobertas na escala da IA.

O gargalo da cibersegurança já não está na descoberta. Está no que acontece depois.

Encontrar vulnerabilidades nunca foi a parte mais difícil

Em uma atualização inicial do Projeto Glasswing, a Anthropic observou que o progresso estava cada vez mais limitado não pela busca por vulnerabilidades, mas pelo trabalho humano necessário para verificar relatos, coordenar divulgações e apoiar os esforços de correção. A empresa também observou que alguns mantenedores pediram um ritmo mais lento de divulgação por não terem capacidade para processar o volume de descobertas geradas.

Essa distinção é importante porque descobrir vulnerabilidades e corrigi-las são atividades fundamentalmente diferentes.

A descoberta é cada vez mais uma questão de reconhecimento de padrões. Os sistemas modernos de IA são excelentes para analisar grandes bases de código, identificar comportamentos incomuns, rastrear caminhos de execução e apontar possíveis fragilidades.

A correção é diferente. Corrigir uma vulnerabilidade exige contexto. Alguém precisa determinar se o problema é real, compreender seu possível impacto, avaliar as soluções possíveis, garantir que as alterações não introduzam regressões, coordenar os prazos de divulgação, comunicar-se com as partes interessadas e, por fim, assumir a responsabilidade pelo resultado.

Essa última parte é fundamental. A IA pode identificar uma possível vulnerabilidade, mas não pode ser responsabilizada pelo que acontece a seguir. Validar, classificar, corrigir e comunicar sempre exigirá uma pessoa responsável pelo projeto que mantém. E isso toma tempo de pessoas que muitas vezes têm um emprego em tempo integral, uma família e outras obrigações que disputam sua atenção. Em muitos projetos de código aberto, o fator limitante não é a falta de visibilidade sobre os riscos, mas a capacidade de mantenedores e equipes de segurança de avaliar e responder com responsabilidade a um volume cada vez maior de descobertas.

Essa é a diferença fundamental entre descoberta e correção. A IA pode nos ajudar a ampliar cada vez mais a capacidade de descobrir vulnerabilidades. A correção, porém, ainda depende de pessoas que tenham o contexto, a autoridade e a responsabilidade necessários para agir com base no que a IA encontra.

O desafio do código aberto

Essa dinâmica fica ainda mais evidente em todo o ecossistema de código aberto. Como componentes de código aberto estão presentes em 98% das bases de código comerciais, a grande maioria da infraestrutura digital mundial depende de projetos mantidos por grupos relativamente pequenos de colaboradores.

Em muitos casos, as pessoas responsáveis pela manutenção desse software essencial são voluntárias ou conciliam as responsabilidades pelos projetos com empregos em tempo integral e compromissos pessoais. À medida que a IA aumenta o volume de software e de vulnerabilidades descobertas nele, a capacidade desses mantenedores de acompanhar esse ritmo se torna um componente cada vez mais importante da equação da segurança.

Quando um sistema de IA gera de repente centenas ou milhares de possíveis descobertas em um ecossistema de projetos, os mantenedores se tornam o fator limitante.

Isso não é uma crítica aos mantenedores. É um reflexo da realidade.

Mesmo antes do surgimento da descoberta de vulnerabilidades com IA, muitos projetos de código aberto já enfrentavam recursos limitados, expectativas crescentes em relação à segurança e uma carga de manutenção cada vez maior. A IA está aumentando a pressão sobre um sistema que já operava no limite.

O desafio não é apenas determinar se existe uma vulnerabilidade. O desafio está em tudo o que acontece depois.

Alguém precisa analisar o relato. Alguém precisa reproduzir o problema. Alguém precisa decidir se ele representa um risco de segurança. Alguém precisa desenvolver e testar uma correção. Alguém precisa coordenar a divulgação e publicar atualizações. Essas responsabilidades não podem simplesmente ser automatizadas.

À medida que as descobertas geradas por IA continuarem aumentando, as organizações que dependem de software de código aberto dependerão cada vez mais da saúde e da sustentabilidade das pessoas que o mantêm.

Preparação para o aumento na descoberta de vulnerabilidades por IA

Então, o que as empresas devem fazer? Primeiro, as organizações precisam reconhecer que a descoberta impulsionada por IA não é um problema futuro. Ela já está acontecendo. O Project Glasswing demonstrou que modelos de fronteira podem revelar vulnerabilidades em uma escala que teria sido difícil de imaginar poucos anos atrás.

Segundo, os responsáveis pela segurança devem avaliar se seus processos de correção conseguem acompanhar a expansão dos recursos de descoberta. Muitas organizações investiram pesadamente na identificação de vulnerabilidades, mas investiram pouco nas pessoas e nos processos responsáveis por resolvê-las.

Terceiro, as empresas devem dar mais atenção à manutenção de software como função de segurança. Costuma-se falar de segurança em termos de prevenção e detecção, mas a manutenção de longo prazo continua sendo um dos componentes mais importantes e menos valorizados da gestão de riscos. A IA pode estar tornando as vulnerabilidades mais fáceis de encontrar, mas isso não diminui a responsabilidade de manter softwares críticos seguros ao longo do tempo. As organizações precisam de uma estratégia de gestão da responsabilidade ao longo do ciclo de vida que lhes permita modernizar de forma planejada, em vez de serem obrigadas a fazer migrações às pressas ou a adotar medidas corretivas reativas quando surgirem riscos.

Por fim, as organizações devem apoiar os ecossistemas mais amplos dos quais dependem. À medida que a IA acelera a descoberta de vulnerabilidades em softwares de código aberto, os responsáveis pela manutenção desses projetos enfrentarão exigências cada vez maiores. A segurança da cadeia de suprimentos de software depende, em última análise, de esses responsáveis terem os recursos necessários para responder.

A IA pode encontrar vulnerabilidades mais rapidamente. Mas encontrá-las não torna o software seguro. O trabalho mais difícil é avaliar os riscos, priorizar o que é importante, entregar correções testadas e manter o software seguro ao longo do tempo. À medida que a descoberta de vulnerabilidades se acelera, as organizações precisarão de uma capacidade contínua de correção, respaldada por conhecimento especializado, responsabilização e níveis de serviço claros.

Porque o problema mais difícil da cibersegurança não é encontrar a vulnerabilidade. É o que acontece depois.