Modelos de inteligência artificial estão evoluindo rapidamente de simples assistentes de codificação para pesquisadores de vulnerabilidades altamente capazes e autônomos. Recentemente, o Claude Opus 4.6 da Anthropic demonstrou isso ao descobrir mais de 500 vulnerabilidades de dia zero em projetos de código aberto amplamente analisados.
Descoberta e escopo
Durante um engajamento colaborativo de duas semanas com a Mozilla em fevereiro de 2026, o modelo de IA identificou 22 falhas de segurança únicas dentro do navegador Firefox. A Mozilla classificou 14 delas como vulnerabilidades de alta severidade, representando quase 20% de todas as falhas de alta severidade do Firefox remediadas no ano anterior. Essa taxa de descoberta sem precedentes destaca uma mudança massiva em como a indústria de segurança cibernética aborda a caça a ameaças. Todas as vulnerabilidades validadas foram rapidamente tratadas e corrigidas na versão Firefox 148.0, protegendo com sucesso centenas de milhões de usuários ativos diários.
Ao automatizar o processo intensivo de verificação e reprodução de caminhos de código complexos, as equipes de segurança podem acelerar enormemente o ciclo de encontrar e corrigir antes que atores maliciosos armem esses dias zero.
Como a descoberta foi feita
Para testar as capacidades do modelo em uma base de código complexa, os pesquisadores direcionaram o Claude Opus 4.6 para analisar o repositório atual do Firefox. A equipe inicialmente se concentrou no mecanismo JavaScript do navegador devido à sua enorme superfície de ataque e processamento rotineiro de código externo não confiável. Em apenas vinte minutos de exploração autônoma, a IA identificou com sucesso uma vulnerabilidade nova de Use After Free, uma falha de corrupção de memória que permite que atacantes sobrescrevam dados com cargas maliciosas.
Seguindo esse sucesso inicial, o Claude verificou quase 6.000 arquivos C++, resultando em 112 relatórios de bugs únicos enviados diretamente para o rastreador de problemas Bugzilla da Mozilla. Para gerenciar esse influxo massivo de dados, pesquisadores da Mozilla e da Anthropic colaboraram para refinar o processo de triagem, provando que a caça a bugs habilitada por IA requer coordenação estreita entre ferramentas automatizadas e mantenedores humanos.
Capacidade de exploração e implicações
Embora o Claude se destaque em descobrir falhas, sua capacidade atual de armá-las permanece limitada, mas preocupante. A Anthropic encarregou o modelo de desenvolver exploits funcionais para os bugs descobertos para ler e escrever arquivos locais em um sistema de destino. Após várias centenas de tentativas, custando aproximadamente US$ 4.000 em créditos de API, o modelo só gerou com sucesso exploits funcionais em duas instâncias. Além disso, esses exploits rudimentares exigiam um ambiente de teste com a sandbox do navegador desabilitada, o que significa que a arquitetura de defesa em profundidade do Firefox teria mitigado com sucesso os ataques no mundo real.
A urgência para os desenvolvedores fortificarem seu software está crescendo à medida que os modelos de fronteira continuam a melhorar. Atualmente, os defensores mantêm a vantagem porque a IA é significativamente melhor e mais barata em encontrar vulnerabilidades do que em construir exploits para elas. No entanto, com o recente lançamento em prévia limitada do Claude Code Security, capacidades avançadas de descoberta e correção de vulnerabilidades estão diretamente nas mãos de clientes e mantenedores de código aberto.
Recomendações para o futuro
Especialistas do setor alertam que a lacuna entre descoberta e exploração se fechará rapidamente, exigindo que as organizações adotem princípios de Divulgação Coordenada de Vulnerabilidades (CVD) para ficar à frente das ameaças. Para se defender contra a iminente onda de bugs gerados por IA, os pesquisadores de segurança devem implementar novos fluxos de trabalho de verificação, como "verificadores de tarefas", que são métodos automatizados que permitem que um agente de correção de IA verifique iterativamente seu próprio trabalho.
Os principais requisitos de submissão para relatórios de vulnerabilidade gerados por IA incluem: incluir casos de teste mínimos para demonstrar as condições exatas de acionamento; fornecer provas de conceito detalhadas para ajudar os mantenedores a entender o vetor de exploração; enviar correções candidatas geradas e validadas pela IA para acelerar o processo de remediação; e utilizar conjuntos de testes automatizados para garantir que as correções propostas removam a vulnerabilidade sem causar regressões no software.