Durante anos, empresas de tecnologia correram contra hackers para encontrar vulnerabilidades antes que fossem exploradas. A inteligência artificial prometia oferecer uma vantagem decisiva nessa disputa. Agora, porém, um experimento envolvendo Anthropic e Microsoft expõe um efeito colateral inquietante: as máquinas podem ser eficientes demais. Uma IA especializada teria descoberto centenas de problemas em produtos amplamente utilizados, criando uma fila de correções que cresce mais rapidamente do que as equipes conseguem eliminá-la.
A ferramenta da Anthropic encontrou vulnerabilidades em um ritmo inesperado
A Anthropic desenvolveu um sistema de inteligência artificial chamado Mythos e disponibilizou antecipadamente o Claude Mythos Preview para um grupo restrito de empresas de software, incluindo a Microsoft.
O objetivo era defensivo: descobrir vulnerabilidades antes que hackers ou governos adversários tivessem acesso a ferramentas de capacidade semelhante.
Uma investigação da ProPublica baseada em documentos e gravações internas da Microsoft, porém, indica que o desempenho do sistema criou um novo desafio.
Em uma reunião realizada em maio na sede da companhia em Redmond, engenheiros reconheceram que a ferramenta estava correspondendo às expectativas. O problema era justamente esse: a IA encontrava falhas mais rapidamente do que as equipes conseguiam corrigi-las.
Os números associados ao SharePoint ajudam a dimensionar a situação.
Somente em abril, o Mythos teria identificado 90 vulnerabilidades classificadas como críticas e outras 141 consideradas importantes na plataforma de gerenciamento de documentos amplamente utilizada por empresas e governos.
Na primeira metade de maio, outras falhas continuaram surgindo. Documentos internos indicavam que os responsáveis pelo SharePoint teriam trabalho acumulado por meses.
A IA que deveria oferecer vantagem aos defensores estava, portanto, revelando também o tamanho de um problema escondido no código.
Pequenas falhas podem ser combinadas para produzir ataques muito maiores
A quantidade de vulnerabilidades não é a única preocupação. Mythos também demonstrou capacidade para identificar combinações entre problemas aparentemente pouco perigosos.
Essa técnica é conhecida como chaining, ou encadeamento de vulnerabilidades.
Tradicionalmente, equipes de segurança classificam falhas de acordo com sua gravidade. Vulnerabilidades críticas recebem prioridade, enquanto problemas considerados menores podem esperar.
A inteligência artificial ameaça complicar essa lógica.
Segundo Vinh Nguyen, consultor técnico da Anthropic e ex-chefe de IA da Agência de Segurança Nacional dos Estados Unidos, várias vulnerabilidades de baixa gravidade podem ser combinadas até produzir um ataque de impacto elevado.
Isso significa que uma falha aparentemente secundária pode se tornar muito mais perigosa quando analisada junto a outras.
A Microsoft afirmou à ProPublica que sua metodologia de priorização já considera fatores como possibilidade de exploração, impacto sobre clientes e encadeamento de vulnerabilidades.
Ainda assim, o crescimento do volume coloca pressão sobre qualquer sistema de triagem.
Centenas de correções mostram a dimensão do desafio
Os efeitos dessa aceleração também começaram a aparecer nas atualizações de segurança.
Segundo a investigação, a Microsoft publicou correções para mais de 200 vulnerabilidades em junho. Pouco depois, em 14 de julho, o volume teria ultrapassado 600 falhas corrigidas, estabelecendo uma escala ainda maior.
A própria empresa reconheceu que a quantidade de vulnerabilidades provavelmente não se estabilizará rapidamente e afirmou estar investindo tanto em profissionais quanto em ferramentas de triagem apoiadas por inteligência artificial.
Existe ainda outro obstáculo: o chamado código legado.
Produtos desenvolvidos e modificados durante décadas carregam enormes quantidades de código escrito com tecnologias e padrões de segurança de diferentes épocas. Manter compatibilidade enquanto vulnerabilidades são corrigidas transforma esse ecossistema em uma tarefa extremamente complexa.
O problema não é exclusivo da Microsoft. Softwares de código aberto utilizados em grande parte da infraestrutura da internet também podem enfrentar uma avalanche semelhante conforme ferramentas automatizadas de descoberta de vulnerabilidades se tornem mais poderosas.
A mesma tecnologia pode acabar chegando às mãos dos atacantes
É justamente aqui que aparece a parte mais preocupante dessa história.
A Anthropic teria concedido acesso ao Mythos a aproximadamente 50 funcionários da Microsoft para ajudar a reforçar serviços críticos antes que modelos disponíveis publicamente alcançassem capacidades semelhantes.
A vantagem, entretanto, pode ser temporária.
Durante as discussões internas, funcionários chegaram a considerar que atacantes não teriam acesso ao código-fonte necessário para reproduzir determinados tipos de análise. Outros participantes lembraram imediatamente que partes do código da Microsoft já foram obtidas por hackers em incidentes anteriores.
A preocupação é que ferramentas semelhantes deixem de ser exclusividade das equipes responsáveis pela defesa.
Nesse cenário, a inteligência artificial poderia acelerar os dois lados da disputa: pesquisadores encontrariam vulnerabilidades mais rapidamente, enquanto invasores ganhariam novas maneiras de procurar pontos fracos e combinar falhas existentes.
O episódio revela uma transformação profunda na segurança digital. Durante décadas, encontrar uma vulnerabilidade sofisticada exigia tempo, conhecimento especializado e muitas horas de trabalho humano. Se modelos de IA conseguirem automatizar parte significativa dessa tarefa, a quantidade de problemas descobertos poderá aumentar drasticamente.
A boa notícia é que empresas poderão encontrar falhas que permaneceriam escondidas durante anos. A má notícia é exatamente a mesma.
Porque, quando a velocidade de descoberta supera a capacidade humana de correção, saber que uma vulnerabilidade existe deixa de ser o fim do problema. Torna-se apenas o início de uma nova corrida para descobrir quem consegue chegar primeiro até ela.
[Fonte: Montevideo]
