As mudanças e disrupções que o desenvolvimento da IA Generativa está trazendo ao mundo são o debate mais importante da atualidade, e a cada dia descobrem-se novos impactos, tanto positivos como negativos. Neste artigo, abordarei os efeitos em um campo que, apesar de bastante tecnológico e até desconhecido pela maior parte da população, afeta a todos indiscriminadamente: o da gestão de vulnerabilidades.
A origem do CVE e a padronização de falhas
CVE, acrônimo para Common Vulnerabilities and Exposures, é uma base de dados pública criada em setembro de 1999 pelo MITRE, e que conta com o apoio, inclusive financeiro, do governo dos Estados Unidos via o Departamento de Segurança Interna (DHS) e a Divisão Nacional de Segurança Cibernética (NCDS). O MITRE, por sua vez, é uma organização sem fins lucrativos criada pela Força Aérea dos Estados Unidos em 1958 para pesquisa avançada.
A ideia por trás do CVE foi a de padronizar a publicação de vulnerabilidades na então incipiente área de segurança digital. Hoje a lista conta com mais de 336 mil registros. O MITRE possui um processo bem estabelecido de publicação, onde a descoberta de uma vulnerabilidade por um pesquisador é reportada e validada antes da publicação.
IA Generativa encurta a janela de correção
Há, por trás de todo esse processo bem-sucedido de 25 anos, o intuito de identificar e corrigir vulnerabilidades antes que sejam exploradas por atacantes. Esta janela ainda existe, mas está se encurtando cada vez mais em decorrência do uso da última geração de ferramentas de IA Generativa na pesquisa de vulnerabilidades.
O gatilho de toda essa discussão foi, principalmente, o lançamento do acesso prévio ao Claude Mythos e a publicação dos primeiros resultados. O Mythos é a versão mais recente do Claude, um modelo de IA da Anthropic. A capacidade do modelo em identificar vulnerabilidades superou todas as expectativas, assim como uma capacidade, não planejada, de escrever exploits utilizáveis para ataques.
Um primeiro exemplo é o de vulnerabilidades publicadas para o Apache, que cresceu 170% esse ano. Já a Mozilla corrigiu 137 vulnerabilidades entre fevereiro e março deste ano. Espera-se que sejam adicionadas entre 55 e 60 mil novas vulnerabilidades no ano.
Crescimento de ataques de dia zero
De acordo com a CrowdStrike em seu relatório de ameaças de 2026, houve um crescimento anual de 42% em ataques de dia zero. Por outro lado, a Proofpoint ainda não detectou o aumento da sofisticação nos ataques, que continuam seguindo a metodologia comum de usar a prova de conceito pública, adaptá-la à infraestrutura de ataque existente, e efetuar os ataques de forma oportunística.
Os fabricantes também estão usando IA para a correção de código, mas, mesmo assim, é necessária validação humana, pelo menos por enquanto. Já a aplicação dessas correções nos ambientes empresariais é um desafio à parte, diante do recorrente problema de orçamento e de equipes reduzidas nas empresas e organizações.
Priorização de correções e fontes de informação
Um desafio adicional para os usuários é a priorização das correções. É operacionalmente inviável corrigir todas as vulnerabilidades na medida em que vão surgindo. Para isso, elas dispõem de fontes públicas como as do NIST e do CISA. Apesar de também serem norte-americanas, são usadas amplamente no mundo assim como no Brasil.
O problema é que ambas as instituições vêm reportando dificuldades para manter suas bases atualizadas. O motivo é a quantidade de novos registros. As empresas precisam, dessa forma, consumir outras fontes de informação, de preferência que tragam informações atualizadas, ou de quase tempo real, sobre a exploração da vulnerabilidade observada na Internet.
Recomendações para CISOs
Diante desse cenário, os profissionais de segurança devem:
- Adotar ferramentas de priorização de vulnerabilidades que considerem a exploração ativa na internet.
- Monitorar fontes de inteligência de ameaças em tempo real.
- Investir em automação de correção para reduzir o tempo de exposição.
- Revisar a estratégia de gestão de vulnerabilidades para incluir IA como vetor de risco.
Perguntas frequentes
A IA vai substituir a gestão de vulnerabilidades?
Não, a IA é uma ferramenta que acelera a descoberta e a correção, mas a decisão estratégica e a validação humana continuam essenciais.
Como lidar com o aumento de CVEs?
Focar nas vulnerabilidades que estão sendo exploradas ativamente e que afetam ativos críticos da organização.