A aceleração na descoberta de vulnerabilidades de software vem dominando a título das notícias sobre cibersegurança há meses. Trata-se de uma questão que levou até o governo dos Estados Unidos a criar a iniciativa Gold Eagle para coordenar iniciativas de pesquisa relacionadas à descoberta, mitigação e correção de vulnerabilidades.

Uma amostra da pressão enfrentada pelos defensores da cibersegurança pode ser observada na quantidade de patches distribuídos pelo Patch Tuesday da Microsoft nos últimos quatro meses: 169 CVEs em abril, 118 CVEs em maio, 571 CVEs no total em junho (incluindo 208 CVEs referentes diretamente à Microsoft) e mais 622 vulnerabilidades em julho, entre elas vulnerabilidades de dia zero exploradas ativamente.

Uma apresentação na Black Hat USA 2026 detalhou uma pesquisa realizada pelo professor associado Yan Shoshitaishvili e pela equipe da Universidade Estadual do Arizona sobre o uso cada vez mais difundido de modelos de IA para a descoberta de vulnerabilidades. Shoshitaishvili fez referência a uma matéria publicada pelo The Washington Post em junho, segundo a qual o modelo de nova geração Claude Mythos, da Anthropic, havia descoberto 479 vulnerabilidades no kernel do Linux, número que a equipe universitária utilizou como referência. Enquanto isso, utilizando gerações anteriores dos modelos GPT, a equipe havia descoberto "apenas" cerca de 300 vulnerabilidades.

A diferença foi atribuída ao uso de fluxos de trabalho no Mythos, o que levou a equipe a integrar fluxos de trabalho semelhantes em três modelos GPT, resultando na descoberta de cerca de 600 vulnerabilidades. Posteriormente, treinaram os modelos GPT utilizando as características de vulnerabilidades já conhecidas e descobriram aproximadamente 1 mil vulnerabilidades. Chegaram a um ponto de encontrar vulnerabilidades em tal velocidade que já não conseguiam manter o ritmo da elaboração de relatórios; vale destacar que esse processo envolve uma investigação detalhada e a proposta de correções, não apenas a identificação do problema. A magnitude do fenômeno coloca em dúvida todo o processo de divulgação responsável que, na opinião da equipe, já apresentava deficiências, já que a divulgação costuma aumentar o risco.

Aplicar patches em tempo hábil em ambientes de produção já representava um desafio para muitas equipes de cibersegurança. Um crescimento exponencial como esse pode se tornar o ponto de ruptura e resultar em uma quantidade ainda maior de software sem correção e, por consequência, em mais oportunidades para os cibercriminosos. Alternativamente, pode impulsionar a aplicação de patches sem os testes adequados, o que, por sua vez, pode gerar problemas de compatibilidade em diversos ambientes.

Se eu analiso esse tema a partir de uma perspectiva lógica e adoto uma visão otimista, poderia se dizer que estamos caminhando para um pico na descoberta de vulnerabilidades e que, depois, poderia existir um cenário mais estável e previsível. Tradicionalmente, a pesquisa de vulnerabilidades por seres humanos tem sido um processo que exige uma grande quantidade de recursos e que produz um fluxo constante de descobertas, com um crescimento sustentado ano após ano. Isso pode se dever ao fato de haver mais pesquisadores, mais software e também maiores incentivos econômicos para descobrir vulnerabilidades por meio de programas de recompensas por falhas (bug bounty) e outras iniciativas semelhantes. Se passarmos da pesquisa humana para a impulsionada por IA, essa mudança pode ser comparada a um salto quântico na capacidade de descoberta. No entanto, é importante lembrar que a IA ainda está em uma fase de aprendizado: como mostrou a equipe do Arizona, ajustar o modelo e seus fluxos de trabalho pode permitir descobrir ainda mais vulnerabilidades.

Também está o fator do software legado (legacy software). Pensemos no enorme volume de software desenvolvido ao longo dos últimos 30 anos: nenhum esforço humano seria capaz de descobrir todas as vulnerabilidades presentes no software atual e em versões legadas ou desenvolvidas há décadas. No entanto, a magnitude da descoberta assistida por IA poderia, potencialmente, chegar a cobrir todo esse universo em algum momento. A partir daí, as novas descobertas dependeriam principalmente de melhorias nos modelos utilizados para identificar vulnerabilidades.

Claro, não devemos esquecer que novos softwares são desenvolvidos constantemente. Também aqui a lógica sugere que qualquer equipe de desenvolvimento moderna utilizaria as mesmas capacidades de IA disponíveis para eliminar possíveis vulnerabilidades antes de lançar seus produtos. E à medida que os modelos continuem melhorando, a possibilidade de contar com software praticamente livre de falhas pode se tornar uma realidade.

Se essa lógica acabar prevalecendo, poderíamos chegar a esse cenário de calma e estabilidade, no qual pouquíssimas vulnerabilidades novas seriam descobertas. Embora, é claro, essa visão também possa ser simplesmente um sonho ou uma amostra do meu otimismo mal direcionado.