IA dobra descobertas de falhas digitais e especialistas preveem meses de instabilidade na internet

Na quarta-feira, sites governamentais na Europa e em outros lugares começaram a sair do ar. A causa foi a descoberta de vulnerabilidades no PHP, uma linguagem de programação consagrada que sustenta boa parte da internet. Operadores correram para atualizar seus sistemas antes que hackers lançassem uma exploração em massa. Um grupo, convencido de que não conseguiria aplicar as correções a tempo, preferiu tirar seus sites do ar até poder torná-los seguros.

O episódio, segundo sete profissionais de segurança cibernética ouvidos pela Reuters, deve se repetir. Eles atribuem a tendência aos avanços da inteligência artificial, que têm revelado uma série de novas vulnerabilidades de software. Uma pesquisa que a VulnCheck, empresa de inteligência de ameaças sediada em Massachusetts, publicará nos próximos dias indica que a IA contribuiu para dobrar, ano após ano, o número de falhas digitais descobertas.

Matthew Prince, diretor executivo da Cloudflare, disse na quinta-feira que conhece outras vulnerabilidades graves em softwares críticos e prevê meses agitados, à medida que a IA expõe fragilidades há muito ocultas na estrutura da internet. "Acho que teremos alguns anos em que, a cada semana, teremos a sensação de que o mundo está acabando", afirmou. Patrick Garrity, pesquisador da VulnCheck, notou que a corrida para corrigir o PHP aconteceu numa semana já movimentada para o setor. "Se vimos apenas quatro ou cinco casos como esses esta semana, eu esperaria ver muito mais", disse, prevendo mais "simulações de incêndio" para tudo o que estiver exposto na rede.

O que muda é o tempo. Os códigos-fonte dos programas modernos são extensos, e bugs que abrem brechas de segurança aparecem com frequência em lugares inesperados. Antes, achar essas falhas exigia habilidade, e transformá-las em "exploits", as ferramentas que abrem as fechaduras digitais, podia custar semanas ou meses de trabalho de um profissional experiente. Isso dava aos defensores certa folga para corrigir erros e distribuir atualizações aos poucos. Os modelos de IA praticamente aboliram essa folga: examinam as bases de código sem pausa, encontram um bug atrás do outro e também podem corrigir vulnerabilidades em questão de horas.

Shane Fry, diretor de tecnologia da RunSafe Security, empresa da Virgínia, afirmou que o desempenho dos modelos nos últimos meses eliminou a dúvida sobre se transformariam o setor. Para ele, mudou de forma inquestionável o tempo necessário não só para encontrar vulnerabilidades, mas também para que adversários as convertam em armas.

Os especialistas concordam que os prazos dos defensores estão encolhendo, mas divergem sobre se isso levará a uma guerra aberta entre hackers. Daniel Stenberg, desenvolvedor principal da ferramenta de transferência de arquivos curl, argumenta que as falhas achadas por IA costumam ser bugs exóticos, difíceis de explorar por agentes maliciosos. Ramy Rahman, engenheiro sênior de soluções da ArmorCode, disse que mais vulnerabilidades divulgadas não significam automaticamente mais ataques bem-sucedidos.

O caso do PHP traz indícios preliminares nesse sentido. A Hunt.io afirmou ter observado tentativas agressivas de explorar a falha, assim como a Amazon e a Cloudflare. Mas Esteban Borges, chefe de pesquisa da Hunt.io, disse que os cibercriminosos que monitorava pareciam não ter conseguido improvisar uma ferramenta funcional. Prince, por sua vez, disse ter visto relatos de comprometimentos ligados à vulnerabilidade.

Apesar do alarme, Prince avalia que o saldo final será positivo. Comparou a avalanche de descobertas a enfrentar os monstros de uma casa mal-assombrada: assustador, mas muito melhor do que deixá-los à espreita atrás de portas fechadas. "A realidade é que vamos conseguir limpar muita coisa", disse. A dúvida que fica é quantas semanas como esta virão antes disso.