Recorde de CVEs do MITRE Mostra IA Encontrando Falhas de Segurança Mais Rápido do que Equipes Conseguem Triá-las
O MITRE registrou um recorde de 48.244 vulnerabilidades em 2025, e o recorde de CVEs do MITRE continuou subindo durante a primeira metade de 2026. Pesquisas assistidas por IA ajudaram a descobrir falhas mais rapidamente, mas o volume de divulgações agora cresce além da capacidade de muitas equipes de segurança de verificar, priorizar e corrigir cada descoberta.
Mais de 35.000 vulnerabilidades haviam sido registradas até junho de 2026, segundo os totais divulgados. Isso já representava quase três quartos do recorde anterior para um ano completo. O crescimento não é simplesmente evidência de que desenvolvedores passaram subitamente a escrever softwares muito piores.
A mudança mais profunda está na descoberta. Sistemas de IA podem inspecionar grandes bases de código, comparar versões de software, propor caminhos de ataque e identificar comportamentos suspeitos em uma escala que pesquisadores humanos não conseguem igualar. Anthropic, OpenAI, Google, Microsoft e fornecedores de segurança investiram em modelos ou programas de pesquisa voltados à cibersegurança.
Isso cria uma forte tensão. Encontrar fraquezas ocultas mais cedo dá aos defensores tempo para eliminá-las. Ainda assim, cada nova divulgação também entra em um sistema sobrecarregado de mantenedores, coordenadores, equipes de segurança e proprietários de ativos.
O resultado não é uma explosão direta de ataques bem-sucedidos. As evidências disponíveis mostram um aumento nas divulgações, uma elevação menor na exploração observada e uma lacuna operacional crescente entre os dois.
O Recorde de CVEs do MITRE Está Crescendo Mais Rápido do que as Previsões
A mudança definidora não é uma vulnerabilidade espetacular isolada. É a aceleração contínua de todo o sistema de divulgação.
Um identificador Common Vulnerabilities and Exposures, ou CVE, é um rótulo padronizado para uma falha de segurança divulgada publicamente. Os CVEs permitem que fornecedores, pesquisadores, governos e ferramentas de segurança se refiram ao mesmo problema sem depender de nomes inconsistentes.
O número de casos registrados permaneceu na casa das dezenas de milhares por ano entre 2017 e 2020. Chegou a 20.161 em 2021, depois subiu para 40.077 em 2024 e 48.244 em 2025. Mais de 35.000 já haviam sido registrados até junho de 2026.
O Forum of Incident Response and Security Teams, conhecido como FIRST, esperava outro recorde antes do início do ano. Sua previsão de fevereiro situava a estimativa mediana para 2026 em 59.427 CVEs.
As divulgações reais rapidamente ultrapassaram essa trajetória. A previsão de meio de ano do FIRST constatou que o volume de publicação até abril estava 46,3% acima de sua projeção anterior. A organização elevou sua estimativa para o ano completo para aproximadamente 66.000 CVEs.
Essa reavaliação identificou 6.420 CVEs a mais do que o modelo inicial esperava até abril. Ela atribuiu a diferença a diversas forças, incluindo descoberta assistida por IA, relatórios mais amplos e mudanças dentro do ecossistema CVE.
O volume de GitHub Security Advisories havia aumentado 449% em relação ao ano anterior. A atividade da CNA of Last Resort da VulnCheck havia crescido 3.119%, à medida que a organização processava um grande acúmulo de vulnerabilidades sem outra autoridade de atribuição.
Esses detalhes importam porque o recorde de CVEs do MITRE não mede uma única coisa. Ele combina novas pesquisas, descobertas antigas que entram no sistema, ciclos de divulgação de fornecedores, cobertura ampliada e mudanças administrativas. Tratar cada CVE adicional como evidência de software recém-tornado inseguro seria interpretar mal os dados.
O número de produtos de software representados no rastreamento de vulnerabilidades também se expandiu substancialmente. Pesquisadores de segurança agora inspecionam mais aplicativos, dispositivos, bibliotecas, serviços em nuvem e componentes de código aberto. Uma visibilidade melhor naturalmente revela falhas que antes permaneciam sem documentação.
Grandes divulgações de fornecedores podem produzir picos mensais abruptos. Uma empresa pode divulgar centenas de problemas relacionados de uma só vez após concluir uma revisão coordenada. O gráfico resultante reflete o cronograma de publicação, além da taxa subjacente de descoberta.
No entanto, essas ressalvas não eliminam a mudança. A IA está ampliando a quantidade de código que pesquisadores conseguem examinar e reduzindo o tempo necessário para identificar fraquezas plausíveis. Essa nova capacidade chega enquanto a infraestrutura de relatórios já enfrenta uma carga de trabalho crescente.
Portanto, o recorde mede tanto progresso quanto pressão. Mais falhas estão se tornando visíveis antes que invasores as encontrem, mas cada relatório válido cria trabalho para mantenedores e defensores.
A Descoberta de Vulnerabilidades por IA Mudou a Escala da Caça a Bugs
A descoberta de vulnerabilidades por IA transforma a revisão de código de uma atividade manual escassa em um processo que pode ser repetido em vastos parques de software.
A pesquisa tradicional de vulnerabilidades exige que especialistas compreendam uma aplicação, identifiquem comportamentos perigosos, construam testes e confirmem se um ataque é viável. Scanners automatizados ajudam, mas frequentemente dependem de padrões conhecidos e produzem falsos positivos.
Modelos de IA de ponta acrescentam outra camada. Eles podem raciocinar entre arquivos, rastrear dados em um programa, comparar versões corrigidas e não corrigidas, gerar casos de teste e sugerir combinações de fraquezas. Pesquisadores humanos ainda precisam validar descobertas relevantes, mas a etapa de busca pode cobrir mais terreno.
O Claude Mythos Preview da Anthropic tornou-se um exemplo de destaque em 2026. A empresa disse que começou a usar, em fevereiro, uma versão inicial do modelo para examinar software de código aberto. Empresas externas de segurança então ajudaram a triar, validar e relatar descobertas de alta gravidade ou críticas.
O painel público de divulgação da Anthropic registrou 462 identificadores emitidos em uma captura de agosto. Eles incluíam 177 registros CVE e 285 GitHub Security Advisories, embora uma descoberta pudesse receber ambos os identificadores.
As alegações mais amplas eram muito maiores. A Anthropic afirmou que o Project Glasswing havia encontrado mais de 10.000 vulnerabilidades de alta gravidade ou críticas. Registros públicos abrangiam apenas uma parte desse total informado, deixando pesquisadores incapazes de avaliar a maioria das descobertas individuais.
A Epoch AI examinou dados de divulgação de 21 grandes organizações de tecnologia, incluindo Microsoft, Google, Apple, Oracle, Cisco, Linux, Mozilla e Apache. Seus dados de gravidade mostraram cerca de 1.550 CVEs de alta gravidade e críticos publicados em junho.
Esse total de junho superou três vezes o recorde mensal observado antes de a Anthropic anunciar o Mythos Preview. Julho alcançou aproximadamente 2.500 divulgações de alta gravidade e críticas, cerca de cinco vezes o recorde anterior.
A Epoch alertou que os números abrangem divulgações públicas, e não todas as falhas descobertas de forma privada. Também observou que as classificações de gravidade mudam à medida que os registros recebem novas informações. Totais mensais históricos podem mudar depois que analistas revisam CVEs individuais.
Ainda assim, o momento dos acontecimentos sustenta a conclusão de que modelos de ponta se tornaram ferramentas de pesquisa relevantes. Programas de IA passaram a operar ao lado de auditorias internas ampliadas, novas iniciativas de divulgação e maior investimento por grandes fornecedores.
O Google descreveu seu próprio volume recente de descobertas como sem precedentes em escala e velocidade. Dados de fornecedores indicaram que muitas falhas recém-relatadas vieram de pesquisas internas, e não de invasores externos. Essa distinção dá aos defensores uma oportunidade de corrigir fraquezas antes que grupos criminosos as transformem em armas.
A IA também ajuda pesquisadores a revisitar softwares antigos. Códigos legados podem conter erros que sobreviveram a anos de testes porque ninguém teve tempo suficiente para examinar todos os caminhos. Um modelo que busca continuamente comportamentos suspeitos pode descobrir vulnerabilidades não relacionadas a desenvolvimentos recentes.
Essa vantagem vai além das grandes empresas de tecnologia. Mantenedores de código aberto, fornecedores menores e consultorias de segurança podem usar análises automatizadas para inspecionar componentes que antes recebiam atenção limitada.
Ainda assim, a descoberta é apenas o primeiro passo. Uma falha plausível precisa ser reproduzida, avaliada, relatada de forma segura, receber um identificador, ser corrigida, testada e implantada. A IA acelera o início dessa cadeia sem expandir automaticamente todas as equipes em sua ponta final.
Esse desequilíbrio explica por que mais descobertas não produzem instantaneamente sistemas mais seguros. O benefício depende de os mantenedores conseguirem transformar descobertas em correções confiáveis antes que invasores as transformem em exploits.
Mais Divulgações Não Significam que Toda Falha É uma Emergência
O problema central da cibersegurança passou de encontrar vulnerabilidades suficientes para identificar quais descobertas criam risco imediato e alcançável.
O recorde bruto de CVEs do MITRE é uma contagem, não uma fila de prioridades. Uma vulnerabilidade em um gateway exposto à internet e sob exploração ativa merece uma resposta diferente de uma falha local em um componente não utilizado.
O FIRST examinou essa distinção por meio de dados de explorabilidade. Sua avaliação de meio de ano filtrou vulnerabilidades usando o catálogo Known Exploited Vulnerabilities da Cybersecurity and Infrastructure Security Agency e resultados do Exploit Prediction Scoring System acima de 10%.
A organização constatou que a explorabilidade acionável permaneceu amplamente estável apesar do aumento no volume total. Em sua terminologia, os defensores enfrentavam mais chuva, mas não necessariamente uma inundação proporcionalmente maior.
Essa descoberta desafia uma interpretação comum da descoberta de vulnerabilidades por IA. Os modelos claramente estão ajudando pesquisadores a produzir mais descobertas. As evidências atuais não mostram que toda fraqueza encontrada por IA se torna mais fácil ou mais atraente de explorar.
A VulnCheck analisou 1.061 descobertas assistidas por IA atribuídas publicamente e ligadas ao Project Glasswing da Anthropic e à Berkeley Vulnerability Research Initiative. Constatou que 14, ou 1,3%, haviam sido confirmadas como exploradas em ambiente real.
Essa taxa foi próxima da taxa de exploração em todo o conjunto de dados mais amplo da VulnCheck. A comparação sugere que descobertas assistidas por IA não tinham, inerentemente, maior probabilidade de se tornar ataques reais do que vulnerabilidades descobertas de forma convencional.
A lacuna é ainda mais clara nos resultados publicados pela Anthropic. A VulnCheck informou que o Claude Mythos identificou 23.019 candidatos a vulnerabilidade, enquanto apenas 126 haviam surgido como CVEs em sua análise. Uma havia sido confirmada como explorada.
Esses números não provam que os candidatos restantes eram inofensivos. Muitos ainda podem estar em revisão, passando por divulgação coordenada, aguardando correções ou retidos porque sua publicação criaria risco. Eles mostram que contagens de candidatos e CVEs validados não são intercambiáveis.
O Google Threat Intelligence Group chegou a uma conclusão relacionada com base em um conjunto de dados diferente. Sua análise de exploração registrou 141 vulnerabilidades que foram divulgadas e exploradas entre janeiro e agosto de 2026.
Esse total superou as 127 registradas ao longo de todo o ano de 2025. A exploração média mensal subiu de 10,5 casos em 2025 para 18 em 2026.
No entanto, apenas 0,23% de todas as vulnerabilidades divulgadas em 2026 apareceram em exploração observada. Isso representava aproximadamente uma vulnerabilidade explorada ativamente para cada 431 divulgações.
A pequena porcentagem não deve incentivar complacência. Uma única vulnerabilidade pode afetar milhares de organizações, especialmente quando está em um produto exposto à internet e amplamente implantado. Os invasores não precisam transformar cada CVE em arma para causar danos extensos.
Os dados de exploração também se tornaram mais preocupantes no fim do ano. O Google constatou que o crescimento das divulgações e o crescimento da exploração acompanharam-se de perto após maio. O volume indexado de divulgações cresceu 128%, enquanto a exploração indexada aumentou 127%.
A exploração de alto risco mais que dobrou. O Google contabilizou 75 vulnerabilidades de alto risco exploradas entre janeiro e agosto de 2026, em comparação com 28 durante todo o ano de 2025.
A atividade de zero-days permaneceu mais estável. Um zero-day é uma vulnerabilidade explorada antes de o fornecedor ou os usuários terem uma correção eficaz. A média mensal subiu de oito em 2025 para 11 em 2026, embora agosto tenha alcançado 22.
O Google sugeriu que os invasores podem obter mais valor imediato ao transformar rapidamente falhas conhecidas em armas, chamadas de n-days, do que ao usar IA para descobrir zero-days inteiramente novos. Os modelos podem comparar patches, notas de lançamento, versões de produtos e código de prova de conceito para acelerar esse processo.
É por isso que as equipes de segurança precisam de contexto de risco, e não apenas de listas maiores de vulnerabilidades. O catálogo de vulnerabilidades exploradas da CISA identifica falhas com evidências de exploração ativa. O EPSS estima a probabilidade de que um CVE publicado seja explorado em breve.
Esses sinais são imperfeitos, mas ajudam as organizações a distinguir entre fraquezas documentadas e vetores de ataque urgentes. A exposição de ativos, os privilégios, os sistemas acessíveis e as mitigações disponíveis continuam sendo partes essenciais dessa decisão.
O Verdadeiro Gargalo É a Capacidade de Triagem e Aplicação de Patches
A IA pode produzir descobertas de segurança mais rapidamente do que as organizações conseguem determinar responsáveis, testar correções e implantar patches com segurança.
Toda vulnerabilidade válida inicia um processo operacional. Um mantenedor precisa reproduzir o problema, avaliar sua gravidade, identificar as versões afetadas, criar uma correção, testar regressões, preparar um aviso e coordenar a publicação.
Os clientes então enfrentam sua própria cadeia de tarefas. Eles precisam localizar o produto afetado, entender se um recurso vulnerável está ativo, avaliar controles compensatórios, programar uma atualização e confirmar que o patch foi aplicado com sucesso.
Esse trabalho se torna difícil quando uma organização não dispõe de um inventário de software preciso. Uma equipe de segurança não consegue priorizar uma vulnerabilidade com confiança se não sabe onde o componente afetado é executado ou de quais serviços de negócios ele depende.
Dependências de terceiros tornam o problema mais difícil. Uma biblioteca vulnerável pode estar várias camadas abaixo de uma aplicação e permanecer invisível para seu operador. Contêineres, plugins, firmware e serviços gerenciados podem obscurecer ainda mais a responsabilidade.
A escassez de mão de obra intensifica a pressão. Yukimi Sota, da divisão japonesa da Proofpoint, disse ao serviço de notícias original que muitas empresas estavam ficando para trás nas contramedidas porque o setor de segurança não tem trabalhadores suficientes.
Recentes acessos não autorizados e vazamentos de informações em empresas japonesas deram mais urgência ao registro. Os incidentes teriam incluído a Times Car, um importante serviço de compartilhamento de carros, e levaram o governo japonês a pedir que as empresas reforçassem suas defesas.
O risco imediato não é que cada novo CVE exija uma implantação de emergência. O risco é que uma fila desestruturada faça as equipes deixarem passar o pequeno número de falhas que os invasores já estão explorando.
Aplicar patches em tudo seguindo a ordem de publicação desperdiçaria tempo escasso. Isso também poderia introduzir interrupções quando mudanças apressadas afetam sistemas de produção complexos. Os defensores precisam combinar inteligência de ameaças com seu próprio contexto de ativos e negócios.
Uma sequência prática de prioridade começa pela exploração ativa. Em seguida, as equipes devem considerar exposição à internet, requisitos de autenticação, complexidade do ataque, privilégios obtidos, sensibilidade dos dados e a importância do serviço afetado.
A gravidade atribuída pelo fornecedor, por si só, não pode responder a essas perguntas. Uma vulnerabilidade crítica em um sistema de testes isolado pode representar menos perigo imediato do que uma falha de alta gravidade em um gateway público.
As equipes de segurança também precisam de uma maneira confiável de preservar decisões. Avisos, registros de exceções, anotações sobre sistemas afetados e evidências de mitigação frequentemente ficam dispersos entre tickets, chats, planilhas e e-mails.
Uma base de conhecimento técnica pesquisável pode ajudar as equipes a conectar avisos de vulnerabilidades a documentos de arquitetura e trabalhos anteriores de remediação. Ela não substitui a varredura nem a aplicação de patches, mas reduz investigações repetidas.
A IA também pode ajudar nesta etapa. Um modelo pode resumir avisos, associar nomes de produtos aos inventários, comparar versões, redigir instruções de remediação e ajudar analistas a agrupar relatórios duplicados.
Esses usos exigem controles. As equipes de segurança precisam verificar conclusões geradas, proteger informações confidenciais de sistemas e evitar enviar credenciais ou detalhes sensíveis de arquitetura a serviços não autorizados.
Correções automatizadas criam um risco separado. Um patch que remove um caminho de código vulnerável pode introduzir outro defeito ou interromper o comportamento em produção. Os mantenedores ainda precisam de testes, revisão e implantação gradual.
A pressão recai de forma desigual sobre o ecossistema de software. Grandes fornecedores podem manter equipes dedicadas de segurança de produtos e coordenar ciclos de divulgação em massa. Pequenos projetos de código aberto podem depender de alguns voluntários para atender milhares de usuários.
A pesquisa assistida por IA pode, portanto, transferir custos de desenvolvedores de modelos e laboratórios de segurança bem financiados para mantenedores com recursos limitados. Encontrar mais bugs é valioso, mas os programas de divulgação devem levar em conta a capacidade de resposta de quem recebe os relatos.
A comunicação responsável precisa de deduplicação, etapas claras de reprodução, evidências de gravidade e prazos razoáveis para remediação. Enviar milhares de alertas de baixa confiança consumiria atenção sem gerar ganhos de segurança equivalentes.
O resultado mais sólido é um pipeline equilibrado. A IA busca amplamente, humanos validam descobertas relevantes, mantenedores recebem relatórios úteis e defensores classificam implantações pela exposição real.
Sem essa disciplina, um volume maior de descobertas se torna mais uma fonte de fadiga de alertas. As equipes veem mais avisos enquanto os poucos mais perigosos permanecem ocultos.
A IA Muda Ambos os Lados da Corrida por Vulnerabilidades
A disputa estratégica não é entre defensores com IA e invasores tradicionais. Ambos os lados podem usar capacidades semelhantes em diferentes estágios do mesmo ciclo de vida de uma vulnerabilidade.
Os defensores atualmente obtêm uma vantagem significativa quando programas internos de IA encontram e corrigem falhas antes da publicação. O Google informou que 401 das 433 vulnerabilidades do Chrome em uma grande atualização foram encontradas internamente.
Esse padrão sugere que o aumento nas divulgações inclui trabalho preventivo. Uma descoberta controlada pelo fornecedor permite que engenheiros desenvolvam um patch, coordenem seu lançamento e preparem clientes antes que informações técnicas detalhadas se espalhem.
Os invasores ganham vantagem após a divulgação. A IA pode processar um aviso, comparar mudanças de código, gerar uma prova de conceito, procurar sistemas expostos e adaptar código público de exploração. Essas atividades reduzem o intervalo entre a publicação e a tentativa de exploração.
A Recorded Future afirmou que o tempo médio necessário para invasores explorarem vulnerabilidades caiu de 72 horas em 2025 para 24 horas em 2026. Essa estimativa reforça a necessidade de priorizar imediatamente falhas acessíveis, embora a maioria dos CVEs nunca apareça em ataques observados.
Os sistemas de IA podem eventualmente descobrir e explorar falhas desconhecidas de forma autônoma. Casos públicos e alegações de fornecedores mostram progresso rumo a cadeias mais longas de trabalho em cibersegurança, mas as evidências disponíveis continuam desiguais.
Algumas demonstrações ocorrem em ambientes controlados, com alvos cuidadosamente selecionados, amplos recursos computacionais, instruções personalizadas e supervisão de especialistas. Seus resultados não comprovam que criminosos comuns possam reproduzir o mesmo desempenho em escala.
A Palo Alto Networks afirmou que modelos avançados da Anthropic e da OpenAI ajudaram a encontrar 75 vulnerabilidades em seus produtos, mais de sete vezes sua contagem mensal habitual. Seu diretor de produtos também reconheceu que o esforço exigiu ampla personalização e conhecimento humano especializado.
Essa ressalva é importante. A capacidade do modelo é apenas uma parte de um ataque operacional. Os adversários ainda precisam de acesso ao alvo, infraestrutura, validação, discrição, persistência e uma maneira de transformar acesso técnico em um resultado útil.
Os defensores também têm vantagens estruturais. Os fornecedores controlam o código-fonte, os testes internos, a telemetria de produtos e a distribuição de patches. Eles podem direcionar modelos aos próprios sistemas e validar resultados com engenheiros que entendem a arquitetura.
Os invasores se beneficiam da assimetria. Eles precisam de apenas um caminho útil para entrar em um alvo, enquanto os defensores devem gerenciar todos os sistemas importantes. A IA não cria esse desequilíbrio, mas pesquisas mais rápidas podem intensificá-lo.
A divulgação em si conecta os dois lados. Publicar um CVE fornece aos defensores um identificador compartilhado e informações de remediação. Isso também pode indicar aos invasores onde concentrar esforços, especialmente quando um patch revela o código vulnerável.
Adiar a divulgação indefinidamente não é uma solução. Falhas não relatadas podem permanecer exploráveis sem oferecer aos clientes qualquer caminho para proteção. O objetivo é uma coordenação que dê tempo aos mantenedores para lançar uma correção, ao mesmo tempo que limita a exposição técnica desnecessária.
As evidências mais fortes até agora sustentam uma conclusão mais restrita do que alegações otimistas ou alarmistas. A IA já está aumentando a capacidade de descoberta de vulnerabilidades. Ela também ajuda na análise e no desenvolvimento de exploits, mas a exploração não cresceu em proporção direta às divulgações brutas.
Esse equilíbrio pode mudar. Os modelos estão melhorando, o treinamento focado em cibersegurança está se expandindo e mais organizações estão integrando agentes aos fluxos de trabalho de pesquisa. Os controles de acesso em torno dos sistemas mais capazes influenciarão a rapidez com que essas capacidades se disseminam.
Líderes de segurança devem evitar planejar em torno de uma única previsão dramática. Eles devem supor que tanto a descoberta quanto a transformação em arma ficarão mais rápidas e, então, criar processos que continuem úteis em vários cronogramas possíveis.
Isso significa ciclos mais curtos de identificação de ativos, procedimentos testados para aplicação emergencial de patches, melhor segmentação e monitoramento mais forte para exploração. Também significa usar IA defensiva onde sua saída possa ser verificada em relação a dados autoritativos.
O Que as Equipes de Segurança Devem Observar a Seguir
Três sinais mostrarão se o aumento das vulnerabilidades permanece gerenciável ou se se transforma em uma crise maior de exploração.
O primeiro sinal é a relação entre o total de CVEs e a exploração confirmada. As contagens brutas de divulgações provavelmente continuarão batendo recordes, mas não determinam sozinhas o risco operacional.
As equipes devem acompanhar o catálogo da CISA, a telemetria de exploração e pontuações de probabilidade de alta confiança. Se as vulnerabilidades exploradas permanecerem uma pequena fração das divulgações, a priorização poderá conter grande parte da carga de trabalho.
Se a exploração começar a crescer mais rapidamente do que a divulgação, o argumento central mudará. Isso indicaria que os invasores estão convertendo uma parcela maior das descobertas em operações funcionais, e não apenas se beneficiando de um conjunto maior.
O segundo sinal é o atraso entre descoberta, validação e disponibilidade do patch. Programas assistidos por IA podem alegar milhares de candidatos, enquanto apenas uma fração aparece em avisos públicos com correções.
Uma redução no atraso de conversão mostraria que fornecedores e coordenadores estão ampliando a capacidade junto com a descoberta. Um backlog crescente significaria que a IA acelerou a parte inicial do pipeline sem resolver o gargalo mais difícil da remediação.
Registros públicos devem facilitar essa avaliação. Relatórios úteis separariam candidatos, vulnerabilidades validadas, identificadores atribuídos, patches concluídos e correções implantadas.
O terceiro sinal é a velocidade de exploração após a divulgação de uma correção ou aviso. Antes, os defensores mediam em semanas as janelas de resposta para muitas vulnerabilidades. Evidências de uma exploração sistemática em apenas um dia levariam mais organizações a automatizar verificações de exposição e correções emergenciais.
Esse sinal importa mais do que demonstrações espetaculares em laboratório. Uma redução repetível no tempo de instrumentalização no mundo real afetaria todas as empresas que usam softwares comuns, mesmo que os invasores nunca alcancem a descoberta totalmente autônoma de vulnerabilidades zero-day.
O registro CVE do MITRE deve, portanto, motivar uma revisão de processos, e não pânico indiscriminado. As organizações precisam saber quais sistemas operam, quais estão expostos à internet e quem é responsável pelas decisões de correção.
Elas também devem testar se atualizações urgentes podem passar do aviso à implantação sem ficarem presas em filas de aprovação. Procedimentos de emergência que existem apenas no papel não acompanharão uma janela de exploração de 24 horas.
A descoberta de vulnerabilidades por IA continua sendo uma oportunidade defensiva. Ela pode revelar fragilidades antigas antes que criminosos as encontrem e ajudar mantenedores a examinar códigos que não receberam revisão suficiente.
O benefício depende do que acontece após a descoberta. Uma falha que ninguém valida gera ruído. Uma CVE validada sem uma correção disponível cria exposição. Uma correção que os clientes não conseguem implantar mantém o risco subjacente.
Para desenvolvedores, líderes de segurança e compradores de tecnologia, a questão principal já não é se a IA consegue encontrar mais falhas. As evidências indicam que sim. A questão é se sua organização consegue transformar essa enxurrada de descobertas em uma pequena lista ordenada de ações antes que um invasor faça o mesmo.
