The New York Times
Em 21 de outubro, Fouad Matin, responsável pelos esforços de preparação e segurança cibernética da OpenAI, planejava passar a noite com amigos para comemorar seu natalício.

Em vez disso, ele estava funcionando com muro de duas horas de sono enquanto coordenava os esforços para emendar duas vulnerabilidades críticas de segurança descobertas por perceptibilidade sintético, que ameaçavam comprometer boa secção da internet. O trabalho mobilizou pesquisadores de segurança de startups e gigantes da tecnologia, além de autoridades governamentais dos Estados Unidos e de outros países.

Outras falhas identificadas por IA também estavam na fileira de Matin e precisavam ser corrigidas. A OpenAI tem várias equipes dedicadas à segurança cibernética e está destinando uma quantidade significativa de poder computacional à identificação e à correção de problemas, disse ele.

A perceptibilidade sintético “realmente abre essa caixa de Pandora de vulnerabilidades”, afirmou Matin. Segundo ele, as empresas de IA têm a responsabilidade de localizar e emendar os problemas, pois “o verdadeiro objetivo é examinar e emendar o supremo verosímil dos programas de computador do mundo”.

Em todo o Vale do Silício, profissionais de tecnologia uma vez que Matin enfrentam uma grande mudança na segurança cibernética. A IA demonstrou tanta capacidade de identificar falhas em softwares que engenheiros estão lidando com uma enxurrada repentina de problemas e têm dificuldade para corrigi-los antes que sejam explorados por hackers. As empresas estão dedicando mais tempo e recursos ao tratamento das vulnerabilidades, e alguns profissionais do setor estão entrando em pânico.

O volume de falhas tem sido avassalador. Em maio, a OpenAI começou a usar sua tecnologia para examinar programas de código descerrado, amplamente utilizados por serem gratuitos e sustentarem boa secção da internet. Até agora, segundo a empresa, seus modelos foram usados por pesquisadores internos e externos para encontrar mais de 1.300 falhas.

Em junho, o Google também usou perceptibilidade sintético para identificar e emendar 1.072 falhas em seu navegador, o Chrome, número superior ao totalidade de problemas corrigidos nos dois anos anteriores. Neste ano, a empresa já corrigiu mais falhas graves do que nos oito anos anteriores somados. Somente neste mês, a Microsoft publicou 1.461 correções, mais do que as 1.247 lançadas ao longo de todo o ano de 2025.

É provável que isso seja somente o início.

“Nascente é o primeiro gotejamento, e a situação vai permanecer dez vezes pior”, disse Matteo Collina, diretor de tecnologia da startup Platformatic, que também ajuda a manter o Node.js, uma utensílio gratuita para desenvolvedores usada por empresas de tecnologia uma vez que Uber e Netflix.

O Node.js tem sido inundado por notificações de falhas e confirmou e corrigiu 50 vulnerabilidades neste ano, mais do que em qualquer outro período de sua história, segundo a OpenJS Foundation, organização sem fins lucrativos responsável pelo projeto. Neste mês, a OpenAI entrou em contato com Collina para alertá-lo sobre uma lapso que poderia permitir que invasores acessassem sistemas em toda a internet e roubassem dados.

A procura por falhas costumava ser uma atividade essencialmente humana. Gigantes da tecnologia contratavam pesquisadores de segurança para examinar seus códigos e criaram programas conhecidos uma vez que bug bounties, que pagavam hackers éticos para revelar vulnerabilidades.

“Dois anos detrás, encontrar uma vulnerabilidade de segurança era alguma coisa realmente permitido”, disse Volker Dusch, engenheiro de segurança que trabalha com a PHP Foundation, grupo que mantém a linguagem de programação PHP. Na semana passada, a organização divulgou que a perceptibilidade sintético havia desvelado uma vulnerabilidade sátira em seu código. “Esse prestígio social meio que desapareceu. A maneira uma vez que isso é valorizado está mudando.”

A perceptibilidade sintético superou rapidamente os hackers humanos. A tecnologia consegue procurar falhas sem parar, continuando o trabalho mesmo quando uma pessoa provavelmente desistiria. Também pode buscar vulnerabilidades em uma graduação ampla, combinando várias pequenas falhas espalhadas por diferentes trechos de código para edificar um ataque perigoso.

Os efeitos da tecnologia sobre a segurança ficaram evidentes no término do ano pretérito. Desenvolvedores de programas de código descerrado perceberam um poderoso aumento nas notificações de falhas. Algumas eram slop —relatos confusos, sem testes, de supostas vulnerabilidades geradas por IA—, mas outras descreviam ameaças significativas.

No término de janeiro, um pequeno projeto de código descerrado publicado uma vez que Curl anunciou que deixaria de remunerar recompensas por falhas, citando o excesso de notificações. Em fevereiro, o Node.js recebeu 4,6 vezes mais relatos do que o habitual.

Em abril, aumentaram os temores de que a perceptibilidade sintético provocasse um colapso na internet. A Anthropic afirmou ter criado um padrão de IA chamado Mythos tão competente em invadir sistemas que não poderia ser disponibilizado ao público com segurança. Em vez disso, a empresa concedeu chegada a um grupo de empresas e governos de crédito, chamado Project Glasswing, para que começassem a examinar seus sistemas em procura de brechas e corrigissem os problemas. A OpenAI e o Google também desenvolveram modelos de IA voltados à segurança cibernética e os compartilharam com equipes de resguardo.

Mas modelos de perceptibilidade sintético capazes de encontrar e explorar vulnerabilidades se tornaram amplamente acessíveis. A Vals AI, empresa que avalia o desempenho de tecnologias de IA, apresentou recentemente a diferentes modelos um duelo de segurança cibernética que consistia em invadir uma empresa fictícia. Um dos modelos mais avançados da OpenAI, disponível somente para equipes de resguardo autorizadas, cumpriu 81% dos objetivos do teste, segundo a Vals AI. Em seguida veio um padrão gratuito da DeepSeek, startup chinesa, que concluiu 73% das tarefas propostas.

A disponibilidade de ferramentas poderosas de IA alimentou uma corrida no Vale do Silício para encontrar e emendar vulnerabilidades antes que invasores as descubram. Isso fez com que muitas funções no setor de tecnologia deixassem de se concentrar no desenvolvimento de novas ferramentas e passassem a priorizar a resguardo de sistemas existentes contra possíveis falhas generalizadas.

Em julho, pesquisadores da empresa de segurança cibernética Calif direcionaram sua atenção —e seus agentes de perceptibilidade sintético— ao PHP, usado na construção de muro de 70% dos sites. Eles descobriram uma lapso escondida no código havia mais de uma dezena, que poderia permitir a realização de código malicioso em qualquer um desses sites.

“Nos últimos dois meses, tenho vivido em um estado de terror integral, com terror de que outra pessoa encontrasse a lapso ou de que as informações vazassem antes que todos tivessem implementado as correções”, disse Matthew Prince, presidente-executivo da Cloudflare. “Nos próximos dois anos, viveremos em um cenário em que, em média, haverá toda semana uma vulnerabilidade sátira que afetará a internet inteira.”

Para alguns especialistas em segurança, a recente vaga de falhas é um sinal de uma catástrofe iminente.

“Por pior que a situação tenha ficado nos últimos quatro dias, ela vai piorar muito antes de melhorar”, escreveu Jason Clinton, vice-diretor de segurança da informação da Anthropic, em uma publicação nas redes sociais em 22 de outubro.

Outros veem uma luz no término do túnel.

“Na verdade, você está mais seguro em um mundo no qual conseguimos encontrar esses problemas”, disse Prince. “Nos próximos dois anos, vai parecer que o firmamento está desabando, mas acredito que sairemos do outro lado com uma internet muito mais segura.”