Análise de Descoberta de Vulnerabilidades por IA: Verificação de Velocidade da VulnCheck

O robô caçador de bugs não está necessariamente arrombando a porta. Talvez ele esteja apenas tocando a campainha do gerenciamento de vulnerabilidades até a bateria acabar. Patrick Garrity, da VulnCheck, relata um aumento acentuado no volume de divulgações de CVEs entre grandes fornecedores de software, que é exatamente o tipo de gráfico que faz equipes de segurança abrirem discretamente um segundo café. A parte interessante é o que os dados ainda não provam: que falhas descobertas por IA estão sendo exploradas mais rápido do que falhas tradicionais. Essa distinção importa porque o debate sobre segurança de IA tem a sutileza de um soprador de folhas dentro de uma biblioteca. Volume de descoberta e velocidade de exploração estão relacionados, mas não são a mesma máquina. Um enche a fila. O outro determina se a fila pega fogo.

VulnCheck: a mangueira de CVEs ficou suspeitamente bem abastecida

A VulnCheck relata que os volumes de divulgação de CVEs subiram acentuadamente no acumulado do ano em vários fornecedores, incluindo Chrome em +563,2%, VMware em +180,9%, Apache em +170,3%, Mozilla em +156,9%, HPE em +132,3% e F5 em +113,8%. A VulnCheck também diz que a emissão de CVEs pelo GitHub subiu +476,07% no acumulado do ano, com o GitHub indicando que o aumento está distribuído entre muitos relatores e projetos, em vez de concentrado em uma única fonte. Essa é uma pista importante, porque o padrão parece menos com um goblin heroico dos bugs e mais com um efeito amplo de ferramentas.

A VulnCheck é cuidadosa quanto à causalidade, o que é refrescante em um setor onde uma torradeira pode ser rotulada como agêntica se tiver um arquivo YAML. A empresa diz que os aumentos são consistentes com um uso mais amplo de descoberta de vulnerabilidades assistida por IA, mas o sinal ainda está surgindo e nem todos os aumentos podem ser atribuídos diretamente à IA. Ela também aponta exemplos públicos da Mozilla, Microsoft, Apache, Curl e Palo Alto em que modelos de IA estão sendo usados para encontrar, validar ou fazer triagem de vulnerabilidades, com resultados mistos dependendo do projeto.

A conclusão prática não é que a máquina se tornou uma auditora perfeita. É que o custo marginal de cutucar código está caindo, e o número de cutucadas parece estar aumentando. Pense nisso como fuzzing com um analista júnior que nunca dorme, ocasionalmente alucina e ainda precisa de alguém sênior para perguntar, com educação, se a descoberta se reproduz.

Cloud Security Alliance:

a automação de exploits é real, mas não misture os baldes

A Cloud Security Alliance argumenta em seu artigo da AI Safety Initiative que a janela mais ampla de exploração está se comprimindo. Segundo a CSA, o tempo médio até a exploração de uma vulnerabilidade divulgada caiu de cerca de 32 dias em 2022 para aproximadamente 5 dias na atividade de exploração de 2023, e dados de 2025 mostraram que 32,1% dos exploits recém-rastreados apareceram na data de divulgação pública do CVE ou antes dela. A CSA também diz que sistemas de IA podem gerar código de exploit de prova de conceito funcional para CVEs publicados em apenas 10 a 15 minutos, a aproximadamente um dólar por tentativa. Essas são afirmações sérias, e defensores não deveriam arquivá-las como leitura de cabeceira, a menos que gostem de dormir como um cluster Kubernetes durante uma queda regional.

Mas elas respondem a uma pergunta diferente da análise de volume de divulgações da VulnCheck. A CSA está descrevendo uma pressão ampla de armamentização em torno de CVEs publicados, enquanto a VulnCheck está sinalizando um aumento nos volumes de divulgação consistente com descoberta assistida por IA. Provar que as próprias falhas descobertas por IA passam para exploração mais rapidamente exige telemetria consciente da proveniência que separe claramente como um bug foi encontrado de como atacantes se comportaram depois.

O exemplo CVE-Genie da CSA deixa o ponto mais claro. O artigo diz que a estrutura multiagente reproduziu 51% de todos os CVEs publicados em 2024 e 2025 com exploits verificáveis a um custo médio de US$ 2,77 por CVE. Isso sugere que a validação de exploits pode ficar mais barata, mas ainda não significa automaticamente que todo bug encontrado por IA se torna uma intrusão real mais rápida. A automação pode acelerar o laboratório sem redesenhar o mapa das ruas.

VulnCheck e CSA juntas apontam para um problema de triagem

Leia VulnCheck e CSA lado a lado e a lição para defensores é quase irritantemente prática: o primeiro impacto da IA pode ser a inflação do backlog, enquanto a história da velocidade continua desigual e dependente do contexto. A VulnCheck diz explicitamente que é menos claro se os aumentos no volume de divulgações serão sustentados ou se isso é um surto temporário à medida que modelos de IA de fronteira são aplicados a diferentes códigos. Essa incerteza não é um dar de ombros. É uma entrada de planejamento.

Equipes de segurança devem tratar descobertas assistidas por IA como qualquer outra fonte de sinal de alto volume: exigir reprodutibilidade, mapear descobertas para ativos expostos, verificar explorabilidade e priorizar com base no raio de impacto operacional. Se um relatório não tem uma reprodução funcional, clareza sobre a versão afetada ou um caminho confiável até o impacto, ele não deve ultrapassar uma questão conhecida e explorada só porque uma IA vestiu um jaleco ao encontrá-lo. O modelo é um detector de metais, não um juiz.

Os dados de compressão da CSA ainda defendem ciclos mais rápidos de decisão de correção, especialmente quando um CVE se torna público e o código de exploit fica barato de testar. Mas os dados da VulnCheck argumentam contra ordenar em pânico todos os CVEs tocados por IA no topo da pilha. A postura sensata é uma triagem consciente da proveniência: registre se a IA ajudou a encontrar, validar ou triar o bug, mas tome a decisão de correção com base em exposição, evidências de exploit, ativos afetados e confiança.

O que observar a seguir

O próximo sinal útil não será outro comunicado de imprensa dizendo que o robô encontrou um bug. Serão conjuntos de dados que conectem proveniência da descoberta, qualidade da divulgação, disponibilidade de exploit e momento da exploração real. Se a descoberta assistida por IA continuar aumentando o volume de CVEs sem um aumento correspondente e mensurável na velocidade de exploração dessas mesmas falhas, defensores precisarão mais de melhor automação de entrada do que de sirenes mais altas.

Para criadores, isso é um convite para tornar o gerenciamento de vulnerabilidades menos teatral e mais mensurável. Adicione campos para método de descoberta. Acompanhe falsos positivos. Separe validação de explorabilidade. A pilha de bugs está ficando mais alta, mas a resposta não é venerar a pilha. É construir uma pá melhor, de preferência uma que não alucine uma classificação de severidade crítica porque o nome de uma função parecia apimentado.