Isto é o novo normal cibernético?
Uma recente onda de vulnerabilidades de software de alto impacto, incluindo exploits assistidos por IA em infraestrutura central como o PHP, faz muitos engenheiros perguntarem se os constantes 0-days agora são o “novo normal” cibernético. Os comentários estão divididos: alguns veem um pico temporário, à medida que modelos de linguagem grande vasculham rapidamente décadas de código legado em busca de bugs há muito latentes; outros acham que o “slop” gerado por IA e cadeias de exploit mais rápidas manterão a pressão alta indefinidamente. Entre as visões, há amplo consenso de que a segurança precisa mudar para a esquerda — em direção a linguagens com segurança de memória, arquiteturas mais simples, auditoria automatizada baseada em LLM e correção mais rápida — porque atacantes e defensores agora têm acesso às mesmas ferramentas poderosas.
Pergunta geral: “novo normal” ou pico temporário?
- Alguns argumentam que isso é uma “corrida do ouro” transitória: os LLMs estão eliminando um grande acúmulo de bugs de longa data, então a taxa de novas vulns de alto impacto deverá eventualmente cair, uma vez que o código seja escaneado e reescrito de forma mais sistemática.
- Outros veem um verdadeiro “novo normal” (ou algo pior por vir): exploração quase zero-day em múltiplas frentes, com janelas entre divulgação e exploração em massa diminuindo drasticamente.
- Uma terceira visão: este é apenas o velho normal turbinado; worms, CAs ruins e software descuidado sempre existiram, mas os LLMs aceleram tanto a descoberta quanto a exploração.
Papel duplo da IA: atacante e defensora
- Atacantes agora podem fazer revisão de código, fuzzing, desenvolvimento de exploits e OSINT de forma barata com LLMs. Isso torna bugs obscuros, “teóricos”, praticamente exploráveis.
- Defensores também podem usar LLMs: pentesting contínuo, revisões automatizadas de código, upgrades de dependências e varredura de código legado. Alguns relatam menos problemas reportados por clientes e melhores resultados em testes de penetração após adotar ferramentas de LLM.
- Debate sobre divulgação coordenada: pistas sobre um bug podem ser suficientes para que atacantes façam os LLMs reconstruírem o exploit rapidamente, enfraquecendo modelos tradicionais de embargo.
Segurança de código gerado por IA
- Um lado: código gerado por IA é “notoriamente terrível” em segurança, entregando facilmente SQLi, XSS, ausência de autenticação, configurações ruins e padrões de implantação inseguros — especialmente quando devs confiam cegamente nos bots e pulam a revisão.
- Outro lado: modelos de fronteira modernos podem produzir código muito defensivo e capturar muitos problemas de alta prioridade, particularmente quando usados em pipelines multi-etapas de “gerar → revisar → auditar” com prompts explícitos de segurança.
- Preocupações:
- “Vibe coding” e inundação de código sem supervisão humana.
- A IA escolhendo bibliotecas desatualizadas ou sem manutenção, ou reimplementando em vez de reutilizar bibliotecas já endurecidas.
- Dependência excessiva de estudos antigos sobre modelos mais velhos.
Vulnerabilidades finitas vs. infinitas
- Alguns afirmam que existe um conjunto finito de bugs sérios por base de código; quando os LLMs esgotarem o que conseguem encontrar, as coisas se acalmarão.
- Outros contrapõem que mudanças contínuas, especificações complexas e sistemas Turing-completos continuam gerando novas vulns; apenas sistemas formalmente verificados ou radicalmente simplificados poderiam limitar isso de forma significativa.
Mudanças na prática e na arquitetura de software
- Apelos por:
- Linguagens com segurança de memória (por exemplo, afastar-se de C/C++), arquiteturas mais simples, menos dependências e superfícies de ataque menores.
- Tratar a varredura de segurança por LLM como testes/CI: uma etapa padrão antes do lançamento.
- Talvez mais versões LTS/apenas de segurança e sistemas mais estáticos/simples; alguns até falam em tirar sistemas críticos do ar.
- Ceticismo de que os incentivos atuais (velocidade, corte de custos, “ship it”) sustentem a disciplina necessária.
Outros temas recorrentes
- Fechar o código-fonte (por exemplo, no estilo NHS) é visto como proteção fraca: a decompilação e o fuzzing assistido por IA ainda funcionam.
- Preocupações de que equipes pequenas e atores fora dos “grandes players” são desproporcionalmente prejudicados por ciclos de divulgação rápidos e opacos.
- Amplo consenso de que a consciência humana sobre segurança é baixa, o subinvestimento é crônico e, sem mudança cultural/regulatória, os LLMs vão amplificar tanto forças quanto fraquezas.